تحقیقات اخیر Sansec نشان می‌دهد که یک گروه مجرم سایبری از ژوئیه ۲۰۲۵ تاکنون، ۹۵۳ فروشگاه آنلاین (عمدتاً مبتنی بر Magento) را به بدافزارهای Skimmer آلوده کرده است. این عامل تهدید (Threat Actor) از پنج دامنه مختلف، سیستم‌های فیلترینگ بات و کدهای مخرب پنهان شده در بلوک‌های CMS برای سرقت اطلاعات استفاده می‌کند.
مکانیزم تزریق و پنهان‌سازی
مهاجمان قطعه کد کوچکی را به صفحات فروشگاه اضافه می‌کنند که در هنگام بازدید کاربر، با سرور مهاجم ارتباط برقرار کرده و دستورات تکمیلی را دریافت می‌کند. یکی از ویژگی‌های برجسته این کمپین، استفاده از Bot Filtering پیشرفته است؛ سرور مهاجم بررسی می‌کند که آیا بازدیدکننده یک خریدار واقعی است یا یک اسکنر امنیتی. در صورت شناسایی اسکنر، فعالیت‌های مخرب پنهان می‌شوند تا شناسایی نشود.
تحلیل‌ها نشان می‌دهد که کدهای لودر (Loader) در جدول cms_block قرار گرفته‌اند و نه در فایل‌های تم یا تنظیمات اصلی. این کدها با استفاده از اثر انگشت مرورگر (Browser Fingerprinting) مواردی نظیر نام GPU (از طریق WebGL)، تعداد هسته‌های CPU، حافظه، اندازه صفحه و منطقه زمانی را استخراج کرده و بر اساس آن تصمیم می‌گیرند که آیا Payload مخرب را ارسال کنند یا خیر.
پایداری و تکامل حملات
برای حفظ پایداری (Persistence)، این بدافزار از مقداری به نام fpCode در حافظه مرورگر بازدیدکننده استفاده می‌کند. این متد باعث می‌شود حتی در صورت آفلاین شدن دامنه مهاجم یا مسدود شدن آن، کد مخرب در بازدیدهای بعدی کاربر همچنان اجرا شود. این گروه در طول ۱۵ ماه گذشته، دامنه های خود را چندین بار تغییر داده‌اند تا از شناسایی و مسدود شدن دائمی جلوگیری کنند.
بررسی نقاط ورود و آسیب‌پذیری‌ها
این حملات لزوماً بر پایه یک آسیب‌پذیری جدید نیستند، بلکه بسیاری از فروشگاه‌ها از طریق نقص‌های مربوط به آپلود فایل آلوده شده‌اند. برخی از موارد شناسایی شده شامل اکسپلویت‌های زیر است:
- PolyShell (CVE-2026-48356): تزریق کد از طریق وب‌شل (Webshell).
- SessionReaper (CVE-2025-54236): دسترسی غیرمجاز به نشست‌های کاربری.
نکته قابل توجه این است که حتی برخی فروشگاه‌هایی که تمامی پچ‌های امنیتی Adobe را نصب کرده بودند، به دلیل وجود حساب‌های مدیریت جعلی (Rogue Admin) یا بک‌دورهای GSocket، همچنان در معرض سرایت (Infection) قرار داشتند.
توصیه‌های امنیتی برای مدیران SOC و CISOها
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- بررسی محتوای CMS: جستجو در جداول
cms_blockوcms_pageبرای یافتن الگوهای مشکوک مانندfpCodeوse_referrer. - بازرسی فایل‌ها: بررسی دقیق فایل‌های آپلود شده برای شناسایی وب‌شل‌ها و بررسی لیست حساب‌های مدیر برای شناسایی کاربران ناشناخته.
- به‌روزرسانی فوری: نصب پچ‌های APSB26-73 برای رفع مشکل PolyShell و APSB25-88 برای SessionReaper.
- پاکسازی جامع: حذف اسکریپت‌های مخرب به تنهایی کافی نیست؛ باید دلیل ورود مهاجم (Vulnerability یا Backdoor) شناسایی و مسدود شود و سپس تمامی رمزهای عبور دیتابیس، مدیریت و API تغییر یابند.
