عاملان تهدید موفق شده‌اند ۹۵۳ فروشگاه آنلاین، که عمدتاً از پلتفرم Magento استفاده می‌کنند، را به یک لودر JavaScript آلوده کنند. این بدافزار به گونه‌ای تکامل یافته است که می‌تواند تفاوت بین خریداران واقعی و اسکنرهای امنیتی را تشخیص دهد و از شناسایی خود جلوگیری کند.
مکانیزم عملکرد و تکامل بدافزار
این کمپین که از جولای ۲۰۲۵ فعال شده است، از پنج دامنه مختلف برای لودر خود استفاده کرده است. این لودر در جدول دیتابیس cms_block در Magento ذخیره می‌شود و باعث می‌شود مرورگر بازدیدکنندگان، دستورات لازم را از سرور مهاجم دریافت کند. نکته کلیدی این است که سرور مهاجم ابتدا بررسی می‌کند که آیا درخواست از سوی یک مشتری واقعی است یا یک اسکنر امنیتی؛ در صورتی که درخواست مربوط به اسکنر باشد، هیچ محتوای مخربی ارسال نمی‌شود.
تکامل این بدافزار در سه مرحله صورت گرفته است:
- مرحله اول: استفاده از سیستم توزیع ترافیک Keitaro برای تصمیم‌گیری در مورد ارسال Payload یا ریدایرکت کردن کاربر.
- مرحله دوم: فراخوانی مستقیم دامنه‌های جدید و اجرای کدهای ذخیره شده در مرورگر (Caching)، به گونه‌ای که حتی در صورت مسدود شدن دامنه، کد مخرب در بازدیدهای بعدی اجرا شود.
- مرحله سوم: افزودن قابلیت Browser Fingerprinting برای بررسی اتوماسیون مرورگر و جمع‌آوری جزئیاتی مانند سخت‌افزار، اندازه صفحه، منطقه زمانی و زبان کاربر پیش از ارسال پاسخ.
روش‌های نفوذ و تداوم دسترسی
تحقیقات نشان می‌دهد که در یک موج حمله در ماه مارس، لودر مذکور تنها در یک ساعت روی ۴۷۱ فروشگاه نصب شده است. این امر از طریق Webshellهایی صورت گرفته که توسط آسیب‌پذیری PolyShell (CVE-2026-48356) ایجاد شده بودند. همچنین در بسیاری از موارد، شواهدی از آپلود فایل از طریق SessionReaper (CVE-2025-54236) مشاهده شده است.
یک نکته حیاتی برای مدیران امنیت این است که صرفاً به‌روزرسانی (Patching) سیستم مانع از سرایت مجدد نشده است. برای مثال، فروشگاهی که کاملاً به‌روز بود و از نسخه Magento 2.4.7-p10 استفاده می‌کرد، تنها یک ساعت پس از یک اسکن پاک، مجدداً آلوده شد. دلیل این اتفاق وجود اکانت‌های ادمین غیرمجاز و Backdoorهایی مانند GSocket بود که از قبل در سیستم ایجاد شده بودند.
توصیه‌های امنیتی برای مقابله
برای پاک‌سازی و ایمن‌سازی فروشگاه‌ها، اقدامات زیر توصیه می‌شود:
- بررسی دقیق محتوای CMS برای یافتن لودرهای مشکوک.
- بازبینی تمامی اکانت‌های ادمین و جست‌وجو برای یافتن Backdoorها.
- تغییر (Rotate) تمامی رمزهای عبور دیتابیس، اکانت‌های ادمین و Integration Credentials پس از پاک‌سازی.
- نصب آخرین به‌روزرسانی‌های امنیتی Magento و Adobe Commerce.
هشدار: حذف اسکریپت مخرب به تنهایی کافی نیست، زیرا دسترسی مهاجم به دیتابیس همچنان برقرار می‌ماند و می‌تواند منجر به سرایت مجدد سیستم شود.
