ร้านค้าออนไลน์กว่า 953 แห่งถูกฝังมัลแวร์ผ่านระบบ Magento

Sansec บริษัทด้านความปลอดภัยทางไซเบอร์เปิดเผยรายงานว่า ผู้ไม่หวังดีได้แพร่เชื้อในร้านค้าออนไลน์ 953 แห่ง ซึ่งส่วนใหญ่ใช้งานระบบ Magento โดยการฉีดโค้ด loader เข้าไปในระบบ ซึ่งเป็นส่วนหนึ่งของแคมเปญการโจมตีที่ยืดเยื้อมาอย่างยาวนาน

การโจมตีนี้เริ่มขึ้นตั้งแต่เดือนกรกฎาคม 2025 โดยผู้โจมตีสลับใช้โดเมนที่แตกต่างกัน 5 แห่งสำหรับ JavaScript loader ได้แก่ manulfie.click, neswnsssn.click, lanhd6549tdhse.top, และ additionalver.com ซึ่งพบการใช้งานในร้านค้าหลายร้อยแห่ง

Sansec กล่าว ว่าโดเมน neswnsssn.click และ manulfie.click ได้หมดอายุลงและถูกจดทะเบียนใหม่ในเดือนพฤษภาคม 2026 โดยเปลี่ยนไปใช้ nameservers ของบริการจดจองโดเมน (abovedomains.com) ระหว่างเดือนสิงหาคมถึงตุลาคม 2026 แต่ปัจจุบันยังพบ loader ของโดเมนเหล่านี้ในร้านค้าบางส่วน

ต่อมาในเดือนตุลาคม 2026 ผู้โจมตีได้เปลี่ยนไปใช้โดเมน deepveindrilling.com ซึ่งซ่อนอยู่หลัง Cloudflare โดยจะตอบสนองต่อคำขอจากสคริปต์ที่โหลดในเบราว์เซอร์ของผู้เข้าชมร้านค้าที่ติดเชื้อเท่านั้น ซึ่งพบ loader นี้ในร้านค้า 83 แห่ง

นอกจากนี้ Sansec Watch ยังได้รับรายงานว่ามีการโหลดโดเมนรุ่นแรกทั้งสี่แห่ง รวมถึงการโหลด additionalver.com ประมาณ 52,000 ครั้ง ซึ่งแสดงถึงขนาดของการเข้าถึงผู้ใช้งาน

จากการตรวจสอบพบว่า ในเดือนมีนาคม ร้านค้า Magento 471 แห่งถูกฉีด loader ผ่านช่องโหว่ PolyShell (CVE-2026-48356) และอีกกว่า 100 แห่งโดนอัปโหลดไฟล์ผ่านช่องโหว่ดังกล่าวหรือ SessionReaper (CVE-2025-54236)

แม้แต่ร้านค้าที่ติดตั้งแพตช์ล่าสุดอย่าง Magento 2.4.7-p10 ก็ยังได้รับผลกระทบ โดย Sansec พบว่าผู้โจมตีอาศัยช่องทางอื่น เช่น บัญชีผู้ดูแลระบบที่แปลกปลอมและ GSocket backdoor ที่ถูกฝังไว้ล่วงหน้าในการเข้าควบคุมระบบ

มัลแวร์ตัวนี้ถูกออกแบบมาเพื่อทำ visitor fingerprinting เพื่อส่ง payload ไปยังผู้เข้าชมที่เป็นมนุษย์เท่านั้น ซึ่งเป็นการหลบเลี่ยงการตรวจสอบจากเครื่องมือความปลอดภัย แม้จะยังไม่สามารถดักจับ payload ตัวสุดท้ายได้ แต่เวอร์ชันก่อนหน้าพบการส่งสคริปต์ที่เลียนแบบแบรนด์กระเป๋าเงินคริปโตอย่าง Ledger

คำแนะนำสำหรับเจ้าของร้านค้าคือ ควรตรวจสอบระบบ CMS เพื่อหาโค้ด loader และช่องโหว่รวมถึง backdoor ที่อาจตกค้าง ตรวจสอบบัญชีผู้ดูแลระบบที่แปลกปลอม ทำความสะอาดระบบ เปลี่ยนรหัสผ่านทั้งหมด และอัปเดตแพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดเสมอ