חברת האבטחה ההולנדית Sansec מתארת קמפיין ארוך טווח שהחדיר קוד נסתר ל-953 חנויות אונליין, רובן מבוססות Magento. הקמפיין פעיל מיולי 2025 והמטען הסופי שלו עדיין לא ידוע.
הפרטים
התוקפים מוסיפים שורת קוד קטנה לבלוקי תוכן של המערכת (טבלת cms_block במסד הנתונים). כשגולש נכנס לדף, הקוד טוען סקריפט משרת של התוקפים. השרת בודק אם מדובר בקונה אמיתי או בסורק אבטחה, ולסורקים לא מחזיר דבר, ולכן קשה לגלות את הנוזקה בסריקה חיצונית.
נצפו שתי גרסאות של הטוען: אחת שומרת את המטען ב-localStorage של הדפדפן כך שימשיך לרוץ גם אם הדומיין יורד, ואחת שמוסיפה זיהוי טביעת אצבע של הדפדפן כדי לסנן בוטים. לפי Sansec, כ-471 חנויות נפרצו דרך PolyShell (CVE-2026-48356), ועוד כ-102 דרך PolyShell או SessionReaper (CVE-2025-54236). במקרה אחד נפרצה חנות מעודכנת בגרסה Magento 2.4.7-p10 באמצעות יצירת חשבון אדמין זדוני.
נקודות לשים לב
- בדוק את הטבלאות
cms_blockו-cms_pageאחר תגיות סקריפט שאינן שלך, ואת רשימת משתמשי האדמין אחר חשבונות לא מוכרים. - התקן את התיקון של Adobe ל-PolyShell (APSB26-73), ובדוק גם את הטיפול ב-SessionReaper.
- חפש קבצים בתיקייה
pub/media/custom_options/quote/: Sansec מצאה שם web shells המחופשים לקובצי PNG. - עדכון בלבד אינו מספיק אם החנות נפרצה קודם: סרוק את התוכן הקיים ובדוק חשבונות אדמין, ואל תסתמך על סורק חיצוני, כי הקוד מסתיר את עצמו ממנו.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
