長期にわたるマルウェアキャンペーンで953のオンラインストアが感染

サイバーセキュリティ企業のSansecは、攻撃者が長期にわたるキャンペーンの一環として、主にMagentoを利用する953のオンラインストアにローダーコードを感染させたと報告しました。

この攻撃は2025年7月から続いており、攻撃者はJavaScriptローダー用に5つの異なるドメインを使用してきました。

最初の4つのドメイン、manulfie.click、neswnsssn.click、lanhd6549tdhse.top、additionalver.comは、数百のストアで使われました。

「neswnsssn.clickとmanulfie.clickは失効し、2026年5月に再登録されました。現在はいずれもドメインパーキングサービス（abovedomains.com）のネームサーバーを使用しています。2026年8月から10月にかけても、Sansecはmanulfie.clickのローダーを9店舗で、neswnsssn.clickのローダーを6店舗で確認しました」と、Sansecは説明しています。

2026年10月、攻撃者はローダーのドメインをdeepveindrilling.comに切り替えました。このドメインはCloudflareの背後にあり、感染したストアの訪問者のブラウザーに読み込まれたスクリプトからのリクエストにのみ応答します。

Sansecによると、deepveindrilling.comのローダーは83店舗で見つかりました。そのうち60店舗は、以前のバージョンのローダーにも感染していました。

「当社のCSP監視サービス『Sansec Watch』には、訪問者のブラウザーが以前の4つのドメインをすべて読み込んだという報告が寄せられました。additionalver.comだけで約5万2000件に上ります」とSansecは述べています。

3月には、PolyShell（CVE-2026-48356）の脆弱性を突いて、471のMagentoストアにローダーが埋め込まれました。Sansecはさらに、PolyShellまたはSessionReaper（CVE-2025-54236）の脆弱性を介してファイルがアップロードされたストアを、100以上確認しました。

「パッチを適用済みのストアにもローダーは仕込まれます。コアパッチの未適用がないMagento 2.4.7-p10のあるストアでは、クリーンなスキャンから1時間後の10月23日16時46分（UTC）に、deepveindrilling.comが仕込まれました。eComscanは、このストアで9月16日に不正な管理者アカウントを、9月24日にGSocketのバックドアを検出していました」とSansecは指摘しています。

このローダーのコードは、訪問者のフィンガープリントを取得し、実際の訪問者にのみペイロードを配信するよう設計されています。これにより、セキュリティ調査を回避する狙いがあります。

Sansecは最終的なペイロードをまだ捕捉していません。ただ、以前のバージョンのローダーは、暗号資産をテーマにしたドメインのスクリプトを訪問者に配信していました。その中には、Ledgerウォレットのブランドを模倣したものもありました。

オンラインストアの運営者は、自社サイトのコンテンツ管理システム（CMS）にローダーのコードがないかを確認してください。あわせて、攻撃者に悪用されかねない脆弱性やバックドアが環境に残っていないかも点検する必要があります。不正な管理者アカウントの有無も確認し、クリーンアップを実施したうえで、すべてのパスワードを変更してください。利用可能な最新のパッチが適用されていることも確かめる必要があります。