953 cửa hàng trực tuyến bị nhiễm JavaScript lẩn tránh quét, chủ yếu là Magento
"A campaign has infected 953 online stores, primarily Magento, with JavaScript code designed to evade security scanners. The attackers utilize CMS blocks to deliver malicious JavaScript loaders, with initial access gained through vulnerabilities like PolyShell (CVE-2026-48356) and SessionReaper (CVE-2025-54236). The campaign employs techniques like browser fingerprinting and traffic distribution systems to target legitimate shoppers."
Chiến dịch này sử dụng JavaScript lẩn tránh quét để xâm nhập vào các cửa hàng trực tuyến, có thể dẫn đến mất dữ liệu hoặc sự gián đoạn dịch vụ. Việc khai thác các lỗ hổng như PolyShell và SessionReaper là một mối đe dọa nghiêm trọng.
Các cửa hàng bị nhiễm mã độc có thể mất uy tín, dẫn đến giảm doanh số và mất khách hàng. Chi phí khắc phục hậu quả và phục hồi hệ thống cũng là một gánh nặng tài chính.
Sansec phát hiện chiến dịch tấn công 953 cửa hàng trực tuyến, phần lớn dùng Magento, từ tháng 7/2025. Kẻ tấn công chèn mã JavaScript vào các khối CMS (hệ thống quản lý nội dung) của Magento. Khi người dùng truy cập, mã này tải thêm JavaScript từ máy chủ của kẻ tấn công. Máy chủ kiểm tra xem đó có phải là người mua thật hay trình quét bảo mật, chỉ trả về mã độc cho người dùng thực.
Chiến dịch này sử dụng 5 tên miền khác nhau: manulfie[.]click (từ tháng 7/2025), neswnsssn[.]click (từ tháng 12/2025), lanhd6549tdhse[.]top (từ tháng 3/2026), additionalver[.]com (từ tháng 6/2026) và deepveindrilling[.]com (từ tháng 10/2026). Deepveindrilling[.]com xuất hiện trong 83 cửa hàng từ 6/10/2026.
Phiên bản JavaScript mới nhất được Cloudflare bảo vệ, chỉ phản hồi yêu cầu script từ khách hàng thật. Mã độc nằm trong bảng cms_block của Magento, nơi lưu trữ nội dung tĩnh. Kẻ tấn công có thể sửa đổi khối CMS hiện có hoặc tạo khối mới để chạy mã độc. Một phiên bản lưu trữ payload trong localStorage của trình duyệt, khiến mã chạy lại ngay cả khi tên miền của kẻ tấn công không còn hoạt động. Phiên bản khác sử dụng browser fingerprinting để lọc bot và trình quét, chỉ hiển thị mã độc cho người dùng thực. Mục đích cuối cùng của cuộc tấn công chưa rõ.
Trước đây, chiến dịch sử dụng Keitaro, một nền tảng theo dõi quảng cáo, để phân phối lưu lượng truy cập. Các cửa hàng bị tấn công thông qua lỗ hổng PolyShell (CVE-2026-48356) chiếm 471 trường hợp. Thêm 102 cửa hàng bị tải lên file thông qua PolyShell hoặc SessionReaper (CVE-2025-54236). Một cửa hàng dùng Magento 2.4.7-p1 có webshell PolyShell ngụy trang thành ảnh PNG. Một cửa hàng khác, dùng Magento 2.4.7-p10, bị xâm nhập bằng tài khoản admin giả để chèn mã độc. Chủ cửa hàng nên kiểm tra tài khoản đáng ngờ và khối CMS trong bảng cms_block và cms_page. Cập nhật phần mềm và sử dụng mật khẩu mạnh là cần thiết.
Câu hỏi thường gặp
Chiến dịch này bắt đầu khi nào?
Chiến dịch tấn công này bắt đầu từ tháng 7 năm 2025 và vẫn đang tiếp diễn. Sansec phát hiện ra hoạt động này và theo dõi các tên miền liên quan.
Lỗ hổng nào được khai thác để tấn công?
Kẻ tấn công khai thác lỗ hổng PolyShell (CVE-2026-48356) và SessionReaper (CVE-2025-54236) để xâm nhập vào hệ thống. 471 cửa hàng bị tấn công qua PolyShell, 102 cửa hàng qua PolyShell hoặc SessionReaper.
Mục đích của cuộc tấn công là gì?
Mục đích cuối cùng của cuộc tấn công chưa được xác định rõ. Tuy nhiên, mã độc được chèn vào các khối CMS của Magento, có thể được sử dụng để đánh cắp thông tin hoặc thực hiện các hành vi độc hại khác.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng Magento cần kiểm tra ngay hệ thống. Việc kiểm tra bảng cms_block và cms_page là quan trọng để phát hiện mã độc. Điều đáng chú ý là lỗ hổng PolyShell (CVE-2026-48356) và SessionReaper (CVE-2025-54236) vẫn còn tồn tại trên nhiều hệ thống, tạo điều kiện cho các cuộc tấn công tương tự.