إصابة 953 متجراً إلكترونياً ببرمجيات خبيثة تعتمد على JavaScript معظمها على Magento
أصاب فاعل تهديد مجهول 953 متجراً إلكترونياً، معظمها يعمل على Magento، ضمن حملة طويلة الأمد بدأت في يوليو 2025.
ووفقاً لشركة Sansec الهولندية لأمن التجارة الإلكترونية، تتضمن الهجمة إضافة قطعة صغيرة من الشيفرة إلى صفحات المتجر. وعندما يزور مستخدمون غير متوقعين هذه الصفحات، تقدم الشيفرة شيفرة تحميل JavaScript خبيثة عبر كتل Magento CMS.
وأوضحت Sansec: «عندما تزور، تجعل تلك الشيفرة متصفحك يسأل خادم المجموعة عما يجب فعله بعد ذلك». ويتحقق الخادم أولاً مما إذا كان الزائر متسوقاً حقيقياً أم أداة فحص أمني، لضمان ألا تتلقى أدوات الفحص أي استجابة.
ومع مرور الوقت، ارتبطت خمسة نطاقات مختلفة بهذه الحملة:
- manulfie[.]click، لوحظ أول مرة في يوليو 2025
- neswnsssn[.]click، لوحظ أول مرة في ديسمبر 2025
- lanhd6549tdhse[.]top، لوحظ أول مرة في مارس 2026
- additionalver[.]com، لوحظ أول مرة في يونيو 2026
- deepveindrilling[.]com، لوحظ أول مرة في أكتوبر 2026
وأفادت Sansec بأن deepveindrilling[.]com وُجد في كتل CMS لدى 83 متجراً إلكترونياً منذ تسجيله في 6 أكتوبر 2026.
ويُستضاف أحدث نطاق لتحميل JavaScript خلف Cloudflare، ولا يستجيب إلا لطلبات الشيفرة من الزوار الفعليين للمتاجر المصابة. ويُجهَّز المُحمِّل داخل جدول قاعدة البيانات cms_block في Magento، الذي يُستخدم لعرض المحتوى الثابت في صفحات واجهة المتجر.
ويتمثل الهدف النهائي للهجوم في تنفيذ الشيفرة التي يتحكم بها المهاجم عند عرض كتلة CMS بعد وصول المتسوق إلى الموقع المخترق.
ولم تكشف Sansec ما إذا كان فاعل التهديد يعدّل كتلة CMS موجودة أو ينشئ كتلة جديدة، لكن أي من الأسلوبين قد يُستخدم لتنفيذ المُحمِّل.
وتم تحديد نسختين مختلفتين من المُحمِّل. تحمّل إحداهما JavaScript خارجية من نطاق المهاجم وتخزن الحمولة في localStorage في المتصفح، ما يتيح للشيفرة العمل مجدداً في زيارات لاحقة حتى لو أصبح النطاق الخارجي غير متاح.
وتعزز النسخة الثانية هذا السلوك بإضافة فحوصات بصمة المتصفح لتصفية الروبوتات وأدوات الفحص الأمني، لضمان تعرض المتسوقين الحقيقيين فقط للشيفرة الخبيثة. ولا تزال الطبيعة الدقيقة للحمولة النهائية غير معروفة.
وبحسب تقارير، استخدمت الإصدارات السابقة من الحملة منصة Keitaro، وهي منصة تتبع إعلاني وتحليلات، كنظام توزيع حركة مرور (TDS) لتوجيه الزوار بناءً على خصائصهم، وإرجاع استجابات مختلفة مثل الحمولات أو إعادة التوجيه أو لا شيء.
وأشارت Sansec إلى أن طلب شيفرة additionalver[.]com بصفة زائر سطح مكتب Windows أعاد استجابة تضع ملف تعريف ارتباط يحدد الزائر لمدة 24 ساعة. في المقابل، يتخلى نطاق deepveindrilling[.]com عن مكوّن Keitaro ويدمج منطق تصفية الروبوتات في المُحمِّل نفسه.
وفيما يتعلق بناقل الوصول الأولي، يُقدَّر أن 471 متجر Magento قد اخترقت عبر ثغرة PolyShell (CVE-2026-48356). كما شهد 102 متجر إضافي عمليات رفع ملفات عبر ثغرتي PolyShell أو SessionReaper (CVE-2025-54236).
وأفادت Sansec: «أحد المتاجر على Magento 2.4.7-p1 كان يحتوي على webshells من PolyShell متنكرة في صور PNG داخل pub/media/custom_options/quote/، بجوار مُحمِّل additionalver.com في كتلة CMS». وقد تحولت هذه الكتلة إلى deepveindrilling[.]com في 7 أكتوبر، ولا يزال المتجر يفتقر إلى APSB26-73، إصلاح Adobe لثغرة PolyShell لإصدارات الدعم.
وفي حالة أخرى، اخترق متجر إلكتروني يعمل على Magento 2.4.7-p10، وكانت جميع التصحيحات الأساسية مطبقة عليه، لإنشاء حساب مسؤول مارق، استُخدم بعد ذلك لحقن الشيفرة الخبيثة.
ويُنصح أصحاب المواقع بتدقيق مواقعهم بحثاً عن حسابات مشبوهة وكتل CMS غير متوقعة في جدولي cms_block وcms_page. كما ينبغي عليهم إبقاء مواقعهم محدثة وفرض كلمات مرور قوية.
ويأتي هذا الكشف وسط تقارير عن PHP2Shell، وهي مجموعة من ثغرتين حرجتين في PHP (CVE-2026-109618 وCVE-2026-109619)، شهدت محاولات استغلال واسعة النطاق بعد الكشف عنها الأسبوع الماضي.
وقد وثّق الباحث في Perplexity عادل كريمي ما يبدو أنه أول استغلال ناجح لهذه الثغرات في البرية، ما يسمح بتنفيذ أوامر shell على خوادم honeypot. ولوحظ أن هذه الأوامر تستخدم wget أو curl أو PHP CLI لجلب حمولات إضافية من خادم بعيد.
المصدر: The Hacker News