Secondo la società di cybersicurezza Sansec, una campagna di lunga durata ha inserito codice loader JavaScript in 953 negozi online, per la maggior parte basati su Magento. L'operazione è attiva dal luglio 2025, ha utilizzato cinque domini per il loader e l'ultima versione è comparsa in 83 negozi nell'ottobre 2026.
Il loader profila i visitatori prima di decidere se distribuire un payload, un passaggio di filtraggio che, secondo Sansec, serve a eludere le indagini di sicurezza. Sansec non ha catturato il payload finale distribuito dall'ultima versione. Le versioni precedenti indirizzavano i visitatori verso script ospitati su domini a tema criptovalute, tra cui uno che imitava il marchio di wallet Ledger.
I cambi di dominio lasciano indietro le infezioni precedenti
Secondo il rapporto di SecurityWeek sui risultati di Sansec, i primi quattro domini del loader sono stati manulfie.click, neswnsssn.click, lanhd6549tdhse.top e additionalver.com. Sono comparsi in centinaia di negozi.
I primi due sono scaduti e sono stati registrati di nuovo nel maggio 2026. Entrambi ora usano nameserver appartenenti al servizio di parcheggio domini abovedomains.com. Nonostante ciò, tra agosto e ottobre 2026 Sansec ha comunque trovato codice che caricava manulfie.click in nove negozi e neswnsssn.click in sei.
Il servizio di monitoraggio delle content security policy di Sansec ha ricevuto segnalazioni di browser dei visitatori che caricavano tutti e quattro i domini precedenti, tra cui circa 52.000 segnalazioni per additionalver.com. Questo dato riguarda le segnalazioni di caricamento dai browser, non un conteggio di negozi infetti o di distribuzioni di payload confermate.
Nell'ottobre 2026 l'operatore è passato a deepveindrilling.com. Secondo Sansec il dominio si trova dietro Cloudflare e risponde solo alle richieste provenienti da script in esecuzione nei browser dei visitatori dei negozi infetti. Degli 83 negozi in cui Sansec ha trovato questo loader, 60 ospitavano già versioni precedenti.
Falle sfruttate e accessi persistenti
Sansec ha riferito che 471 negozi Magento sono stati infettati con il loader a marzo attraverso la vulnerabilità PolyShell, identificata nel rapporto come CVE-2026-48356. Ha inoltre trovato oltre 100 negozi con file caricati tramite PolyShell o SessionReaper, identificata come CVE-2025-54236.
I risultati mostrano anche perché lo stato delle patch, da solo, non basta a stabilire che un negozio sia pulito. Un negozio con Magento 2.4.7-p10, senza patch mancanti per il core, ha ricevuto il loader deepveindrilling.com alle 16:46 UTC del 23 ottobre, un'ora dopo una scansione risultata pulita. In precedenza eComscan di Sansec aveva rilevato un account amministratore non autorizzato il 16 settembre e una backdoor GSocket il 24 settembre. Queste osservazioni non chiariscono come sia avvenuta l'iniezione di ottobre, ma documentano un precedente accesso non autorizzato alla stessa installazione.
Ai titolari dei negozi si consiglia di controllare i propri sistemi di gestione dei contenuti alla ricerca di codice loader e di verificare le installazioni per vulnerabilità, backdoor e account amministratore non autorizzati. Le indicazioni di rimedio riportate prevedono anche la pulizia, la modifica di tutte le password e l'applicazione delle patch più recenti disponibili.
