Malware infecta 953 lojas Magento e expõe dados sensíveis hoje
Campanha descoberta pela Sansec injeta loader em 953 lojas virtuais, em sua maioria Magento, ativando código malicioso só para visitantes reais e driblando defesas.
Segurança Digital
Campanha maliciosa atinge centenas de lojas virtuais, comprometendo informações confidenciais dos usuários.
Leia também: CISA manda corrigir falhas críticas em Collabora e Arista
Uma campanha de malware em andamento desde o ano passado já infecta 953 lojas online, a maior parte baseada em Magento, com código JavaScript furtivo que só ativa o conteúdo malicioso para visitantes reais, o que dificulta a detecção por ferramentas de segurança automatizadas. O ataque, monitorado pela empresa de cibersegurança Sansec, mira diretamente o ambiente de compra e pode expor dados sensíveis de consumidores e lojistas.
Como o ataque invade e se mantém nas lojas
O ator de ameaça, ainda não identificado, usa um código loader em JavaScript injetado nas páginas das lojas para carregar o restante do malware a partir de cinco domínios diferentes: manulfie.click, neswnsssn.click, lanhd6549tdhse.top, additionalver.com e, mais recentemente, deepveindrilling.com. Esse loader faz uma espécie de “raio-X” do navegador — um fingerprinting do visitante — e só entrega o payload quando percebe que se trata de um usuário real, e não de um robô de varredura.
Parte das infecções explora vulnerabilidades críticas em lojas Magento, como as falhas conhecidas como PolyShell (CVE-2026-48356) e SessionReaper (CVE-2025-54236). Em março, 471 lojas Magento receberam o loader via PolyShell, e mais de 100 tiveram arquivos maliciosos carregados usando PolyShell ou SessionReaper. Em muitos casos, os criminosos também lançam mão de backdoors e contas administrativas falsas para manter o acesso mesmo depois de atualizações.
Segundo a Sansec, mesmo lojas com correções oficiais aplicadas não estão imunes se já tiverem sido comprometidas antes. Em um dos casos descritos pela empresa, uma loja rodando Magento 2.4.7-p10, sem patches em falta, passou em uma varredura limpa e, uma hora depois, recebeu o carregador deepveindrilling.com, em 23 de outubro, às 16h46 (UTC). Essa mesma instalação já tinha tido uma conta de administrador fraudulenta detectada em setembro, além de um backdoor do tipo GSocket.
Domínios mudam para driblar bloqueios
Ao longo da campanha, o ator alternou os domínios usados para hospedar o loader para escapar de bloqueios e listas de reputação. Os primeiros quatro endereços — manulfie.click, neswnsssn.click, lanhd6549tdhse.top e additionalver.com — chegaram a ser utilizados em centenas de lojas.
Dois deles, manulfie.click e neswnsssn.click, expiraram e foram registrados novamente em maio. “neswnsssn.click and manulfie.click expired and were registered again in May 2026. Both now use the nameservers of a domain parking service (abovedomains.com). Between August and October 2026, Sansec still found the manulfie.click loader on 9 stores and the neswnsssn.click loader on 6”, informou a Sansec.
Nesse período, o serviço Sansec Watch continuou recebendo alertas de navegadores de visitantes acessando os quatro domínios antigos. “Sansec Watch, our CSP monitoring service, received reports of visitors’ browsers loading all four earlier domains, including about 52,000 for additionalver.com”, disse a empresa, demonstrando a escala da campanha.
Em outubro, o grupo criminoso migrou para o domínio deepveindrilling.com, que opera por trás da infraestrutura da Cloudflare e responde apenas a requisições originadas de scripts carregados nos navegadores dos visitantes das lojas infectadas. O novo loader já foi identificado em 83 lojas, sendo 60 delas com histórico de versões anteriores do mesmo código.
Entenda o contexto
O Magento é uma das plataformas mais usadas no mundo para comércio eletrônico, especialmente por pequenos e médios negócios. Ao comprometer o código das páginas e injetar um loader discreto, os atacantes conseguem operar “por baixo do radar”, observando o tráfego real de clientes e acionando o malware apenas quando há potencial de ganho — como na digitação de dados de cartão ou login de contas.
A Sansec ainda não conseguiu capturar o payload mais recente servido por deepveindrilling.com, mas campanhas anteriores com o mesmo tipo de loader chegaram a entregar scripts hospedados em domínios ligados a criptomoedas, incluindo um que imitava a marca da carteira Ledger. Isso indica interesse em roubo de ativos digitais e informações financeiras, além de possíveis fraudes em pagamentos.
O cenário pressiona tanto lojistas quanto provedores de hospedagem e de serviços de segurança a reforçar a proteção de ambientes de e-commerce, indo além da simples aplicação de patches da plataforma e monitorando continuamente alterações inesperadas em arquivos, contas administrativas e integrações.
O que lojistas podem fazer agora
A principal orientação para donos de lojas virtuais é fazer uma varredura completa em busca do loader JavaScript e de sinais de comprometimento. Isso inclui revisar o código do CMS e dos temas instalados, checar arquivos recentemente modificados e procurar referências aos domínios usados na campanha, em especial deepveindrilling.com, additionalver.com, manulfie.click, neswnsssn.click e lanhd6549tdhse.top.
Especialistas recomendam ainda investigar e remover backdoors e contas administrativas suspeitas, fazer limpeza completa do ambiente, alterar todas as senhas — incluindo de painel, FTP, banco de dados e APIs — e garantir que a instalação esteja com todos os patches de segurança disponíveis. Em casos de possível vazamento de dados de clientes, pode ser necessário acionar autoridades, provedores de pagamento e, dependendo da jurisdição, comunicar formalmente os usuários afetados.
A Sansec afirma que continuará monitorando a infraestrutura usada pelo grupo e publicando indicadores técnicos da campanha, o que deve ajudar equipes de segurança e provedores a bloquear novas tentativas de compromisso e detectar variantes futuras do loader.
