Исследователи Sansec раскрыли масштабную вредоносную кампанию, в рамках которой злоумышленник заразил 953 Интернет-магазина, большинство из них работают на платформе Magento. Атаки продолжаются с июля 2025 года с использованием пяти разных доменов для загрузчика JavaScript. Первые четыре - manulfie.click, neswnsssn.click, lanhd6549tdhse.top и additionalver.com - использовались сразу для нескольких сотен магазинов. Домены neswnsssn.click и manulfie.click утратили свою актуальность и были перерегистрированы повторно в мае 2026 года. Теперь оба используют серверы abovedomains.com. В период с августа по октябрь 2026 Sansec выявила загрузчик manulfie.click в 9 хранилищах, а загрузчик neswnsssn.click - в 6. Позже злоумышленник переключился на домен загрузчика deepveindrilling.com, который находится за Cloudflare и отвечает только на запросы от скриптов, загруженных в браузеры посетителей зараженных магазинов. По данным Sansec, погрузчик deepveindrilling.com был обнаружен в 83 магазинах, в том числе в 60, где ранее использовались предыдущие версии погрузчика. Причем Sansec Watch, служба мониторинга поставщиков облачных услуг, отследила, что браузеры посетителей загружали все четыре ранее упомянутых домена, включая около 52 000 для additionalver.com. В марте в 471 магазине Magento был внедрен загрузчик через уязвимость PolyShell (CVE-2026-48356). Sansec также обнаружила более 100 магазинов, в которых файлы загружались через уязвимости PolyShell или SessionReaper (CVE-2025-54236). В магазинах с установленными патчами загрузчик тоже появился: в одном магазине на Magento 2.4.7-p10 deepveindrilling.com появился в 16:46 UTC 23 октября, через час после чистого сканирования. eComscan обнаружил на нем вредоносную учетную запись админа 16 сентября и бэкдор GSocket 24 сентября. Код загрузчика был разработан для выполнения идентификации посетителей по фингерпринтам, доставляя полезную нагрузку только реальным посетителям, во избежание проверок безопасности. Sansec пока не удалось изучить окончательный вариант полезной нагрузки, но предыдущие версии загрузчика доставляли посетителям скрипты с доменов, связанных с криптовалютами, включая один, имитирующий бренд кошелька Ledger. Владельцам интернет-магазинов рекомендуется перепроверить CMS своих сайтов на наличие кода загрузчика, а также просканировать установку на наличие уязвимостей и бэкдоров, которые могут быть использованы злоумышленниками. Кроме того, следует проверить наличие фейковых админских учетных записей, выполнить очистку и сменить все пароли, убедившись, что на серверах установлены последние доступные обновления.