„Wenn Sie die Seite besuchen, lässt dieser Code Ihren Browser beim Server der Gruppe nachfragen, was als Nächstes zu tun ist", erklärte Sansec. „Der Server prüft zuerst, ob Sie ein echter Käufer oder ein Sicherheitsscanner sind – Scanner bekommen also nichts."
Im Lauf der Zeit wurden fünf unterschiedliche Domains beobachtet:
- manulfie[.]click, erstmals im Juli 2025
- neswnsssn[.]click, erstmals im Dezember 2025
- lanhd6549tdhse[.]top, erstmals im März 2026
- additionalver[.]com, erstmals im Juni 2026
- deepveindrilling[.]com, erstmals im Oktober 2026
Die zuletzt genutzte Domain deepveindrilling[.]com wurde am 6. Oktober 2026 registriert; Sansec fand sie seither in den CMS-Blöcken von 83 Onlineshops. Sie liegt hinter Cloudflare und antwortet nur auf Skriptanfragen echter Besucher infizierter Shops. Der Loader wird in der Magento-Datenbanktabelle cms_block abgelegt, über die statische Inhalte in die Storefront-Seiten eingebunden werden. Der Angreifercode startet, sobald der CMS-Block beim Seitenaufruf gerendert wird. Ob die Täter einen bestehenden Block wie Header, Footer oder Werbebanner verändern oder einen neuen anlegen, legt Sansec nicht offen – beide Wege sind möglich.
Es wurden zwei Varianten des Loaders beobachtet. Die erste speichert die von der Angreiferdomain nachgeladene Nutzlast im localStorage des Browsers, sodass der abgelegte Code auch bei späteren Besuchen erneut ausgeführt wird, selbst wenn die externe Domain nicht mehr erreichbar ist. Die zweite Variante ergänzt dies um Browser-Fingerprinting, um Bots und Sicherheitsscanner herauszufiltern und nur echte Käufer dem Schadcode auszusetzen. Welche Nutzlast am Ende ausgeliefert wird, ist unbekannt.
Frühere Ausprägungen der Kampagne nutzten die Werbe- und Analyseplattform Keitaro als Traffic-Distribution-System, um Besucher je nach Merkmalen unterschiedlich zu behandeln – mit einer Nutzlast, einer Weiterleitung oder gar keiner Antwort. Beim Abruf des Skripts von additionalver[.]com als Windows-Desktop-Besucher erhielt Sansec die Antwort „QWE=123;", die lediglich ein Cookie setzt und den Besucher für 24 Stunden markiert. Bei deepveindrilling[.]com fehlt die Keitaro-Komponente, die Bot-Filterung steckt direkt im Loader.
Als Einfallstor dient nach Schätzung von Sansec in 471 Fällen die PolyShell-Schwachstelle (CVE-2026-48356). Bei weiteren 102 Shops wurden Dateien über PolyShell oder SessionReaper (CVE-2025-54236) hochgeladen. „Ein Shop mit Magento 2.4.7-p1 hatte PolyShell-Webshells, die als PNG-Bilder getarnt in pub/media/custom_options/quote/ lagen, direkt neben dem additionalver.com-Loader in einem CMS-Block", so Sansec. „Der Block wechselte am 7. Oktober zu deepveindrilling[.]com. Dem Shop fehlt weiterhin APSB26-73, Adobes PolyShell-Fix für die unterstützten Release-Linien." In einem anderen Fall wurde ein Shop mit Magento 2.4.7-p10 ohne fehlende Kern-Patches kompromittiert, indem ein betrügerisches Administratorkonto angelegt und darüber der Code eingeschleust wurde.
Shop-Betreibern wird geraten, ihre Installationen auf verdächtige Konten und unerwartete CMS-Blöcke in den Tabellen cms_block und cms_page zu prüfen, Systeme aktuell zu halten und starke Passwörter durchzusetzen.
Parallel dazu werden die unter dem Namen PHP2Shell zusammengefassten zwei kritischen PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619 seit ihrer Offenlegung in der vergangenen Woche breit angegriffen. Perplexity-Forscher Adel Karimi dokumentierte, was offenbar die erste erfolgreiche Ausnutzung in freier Wildbahn darstellt: Auf Honeypot-Servern wurden Shell-Befehle ausgeführt, die per wget, curl oder PHP CLI weitere Nutzlasten von einem entfernten Server (162.35.99[.]94:80) nachluden. Heruntergeladene Artefakte der zweiten Stufe wurden bislang nicht beobachtet.