Um ator de ameaças infectou 953 lojas online, a maioria delas com Magento, com código carregador como parte de uma campanha de longa duração, informa a empresa de segurança cibernética Sansec.
Os ataques estão em andamento desde julho de 2025, e o ator de ameaças usou cinco domínios diferentes para seu carregador em JavaScript.
Os quatro primeiros domínios, manulfie.click, neswnsssn.click, lanhd6549tdhse.top e additionalver.com, foram usados em centenas de lojas.
“Os domínios neswnsssn.click e manulfie.click expiraram e foram registrados novamente em maio de 2026. Ambos agora usam os servidores de nomes de um serviço de estacionamento de domínios (abovedomains.com). Entre agosto e outubro de 2026, a Sansec ainda encontrou o carregador manulfie.click em 9 lojas e o carregador neswnsssn.click em 6”, afirma a Sansec.
Em outubro de 2026, o ator de ameaças passou a usar o domínio de carregador deepveindrilling.com, que fica atrás da Cloudflare e só responde a solicitações de scripts carregados no navegador dos visitantes das lojas infectadas.
Segundo a Sansec, o carregador deepveindrilling.com foi encontrado em 83 lojas, incluindo 60 que já executavam versões anteriores do carregador.
“O Sansec Watch, nosso serviço de monitoramento de CSP (Política de Segurança de Conteúdo), recebeu relatos de navegadores de visitantes carregando todos os quatro domínios anteriores, incluindo cerca de 52 mil para additionalver.com”, afirma a Sansec.
Em março, 471 lojas Magento foram infectadas com o carregador por meio da vulnerabilidade PolyShell, catalogada como CVE-2026-48356 (sigla para Vulnerabilidades e Exposições Comuns). A Sansec também encontrou mais de 100 lojas que tinham arquivos enviados por meio das falhas PolyShell ou SessionReaper, esta última catalogada como CVE-2025-54236.
“Lojas corrigidas também recebem o carregador. Uma loja no Magento 2.4.7-p10, sem atualizações essenciais ausentes, recebeu o deepveindrilling.com às 16h46 UTC (Tempo Universal Coordenado) de 23 de outubro, uma hora após uma varredura limpa. O eComscan havia encontrado uma conta de administrador falsa nela em 16 de setembro e um backdoor GSocket em 24 de setembro”, observa a Sansec.
O código do carregador foi projetado para realizar a identificação digital dos visitantes (fingerprinting), de modo que a carga maliciosa fosse entregue apenas a visitantes reais, evitando investigações de segurança.
A Sansec ainda não capturou a carga final, mas versões anteriores do carregador entregavam aos visitantes scripts de domínios com temática de criptomoedas, incluindo um que imitava a marca de carteiras Ledger.
Donos de lojas online devem verificar o código do carregador no sistema de gerenciamento de conteúdo (CMS, sigla em inglês para Content Management System) de seus sites e checar a instalação em busca de vulnerabilidades e backdoors que os atacantes possam explorar. Também devem procurar contas de administrador falsas, fazer a limpeza, trocar todas as senhas e garantir que suas instalações estejam com as atualizações mais recentes disponíveis.
