Um ator de ameaça desconhecido comprometeu 953 lojas virtuais, a maioria baseada em Magento, em uma campanha prolongada que está ativa desde julho de 2025.
Segundo a Sansec, empresa holandesa de segurança para comércio eletrônico, a operação insere um pequeno trecho de código nas páginas das lojas. Quando usuários desavisados acessam esses sites, blocos do CMS (sistema de gerenciamento de conteúdo) do Magento carregam um código malicioso em JavaScript.
“Quando você visita o site, esse código faz o navegador consultar o servidor do grupo para saber o que fazer em seguida”, afirmou a Sansec. “O servidor primeiro verifica se você é um cliente real ou uma ferramenta de varredura de segurança. Nesse último caso, não envia nada.”
Ao longo da campanha, foram identificados pelo menos cinco domínios associados à atividade:
- manulfie[.]click, observado pela primeira vez em julho de 2025;
- neswnsssn[.]click, observado pela primeira vez em dezembro de 2025;
- lanhd6549tdhse[.]top, observado pela primeira vez em março de 2026;
- additionalver[.]com, observado pela primeira vez em junho de 2026;
- deepveindrilling[.]com, observado pela primeira vez em outubro de 2026.
A Sansec informou ter encontrado o domínio deepveindrilling[.]com em blocos do CMS de 83 lojas virtuais desde seu registro, em 6 de outubro de 2026.
O domínio mais recente usado para hospedar o script carregador em JavaScript é protegido pela Cloudflare e só responde a solicitações de arquivos JavaScript feitas por visitantes reais de lojas infectadas. O script é armazenado na tabela cms_block do banco de dados do Magento, usada para exibir conteúdo estático nas páginas das lojas.
O objetivo final do ataque é executar código controlado pelos invasores quando o bloco do CMS é exibido após um cliente abrir o site comprometido.
A Sansec não informou se o ator de ameaça altera um bloco existente, como o cabeçalho, o rodapé ou um banner promocional, ou se cria um novo. Ambas as opções permitem executar o script carregador.
Foram identificadas duas versões do script carregador. Em uma delas, o código JavaScript externo, obtido no domínio dos invasores, armazena o payload no armazenamento local do navegador. Assim, o código armazenado pode ser executado novamente em visitas posteriores, mesmo que o domínio externo fique indisponível.
A segunda versão amplia esse comportamento com verificações de impressão digital do navegador para filtrar robôs e ferramentas de varredura de segurança. Dessa forma, apenas clientes reais são expostos ao código malicioso. A natureza exata do payload final ainda é desconhecida.
As primeiras versões da campanha também usavam o Keitaro, uma plataforma de rastreamento de publicidade e análise, como sistema de distribuição de tráfego. A ferramenta direcionava os visitantes para respostas diferentes, como o envio de um payload, um redirecionamento ou nenhuma ação, de acordo com as características de cada visitante.
Segundo a Sansec, uma solicitação ao arquivo JavaScript de additionalver[.]com feita por um visitante em um computador com Windows recebeu a resposta “QWE=123;”. O código apenas define um cookie que identifica o visitante por 24 horas. Já o domínio deepveindrilling[.]com elimina o componente Keitaro e incorpora ao próprio script carregador a lógica de filtragem de robôs.
Quanto ao vetor de acesso inicial, estima-se que 471 lojas Magento tenham recebido o script carregador por meio da vulnerabilidade PolyShell, também identificada como
CVE-2026-48356
. Outras 102 lojas tiveram arquivos enviados por meio das vulnerabilidades PolyShell ou SessionReaper, também identificada como
CVE-2025-54236
.
“Uma loja com Magento 2.4.7-p1 tinha web shells do PolyShell disfarçadas de imagens PNG em pub/media/custom_options/quote/, ao lado do script carregador de additionalver.com em um bloco do CMS”, informou a Sansec. “O bloco passou a usar deepveindrilling[.]com em 7 de outubro. A loja ainda não recebeu o APSB26-73, correção da Adobe para o PolyShell nas versões compatíveis.”
Em outro caso, uma loja virtual com Magento 2.4.7-p10, sem atualizações essenciais pendentes, foi comprometida por meio da criação de uma conta de administrador não autorizada. Os invasores usaram essa conta para inserir o código.
A Sansec recomenda que os responsáveis pelos sites verifiquem a existência de contas suspeitas e de blocos inesperados nas tabelas cms_block e cms_page. Também orienta a manter os sites atualizados e a exigir senhas fortes.
A divulgação ocorre em meio à exploração do PHP2Shell, um conjunto de duas vulnerabilidades críticas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619. As falhas têm sido alvo de tentativas de exploração em larga escala desde que foram divulgadas na semana passada.
Adel Karimi, pesquisador da Perplexity, registrou o que parece ser a primeira exploração bem-sucedida das vulnerabilidades em ambientes reais, com a execução de comandos de terminal em servidores honeypot. Os comandos observados usaram wget, curl ou a interface de linha de comando do PHP (CLI) para buscar payloads adicionais em um servidor remoto, no endereço “162.35.99[.]94:80”. Até o momento, não foram encontrados arquivos baixados que correspondessem a uma segunda etapa do ataque.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...