اخیرا گزارش هایی مبنی بر این که هکرها کد آسیب زایی را از جولای 2025در 953 فروشگاه اینترنتی فرستادند رسیده،این کدها به گونه ای طراحی شدند که اسکنرهای امنیتی نمیتوانند آنها را شناسایی کنند.اکثر این فروشگاه های اینترنتی با پلتفرمی به نام Magento ساخته شده اند.
یک شرکت در حوزه امنیت به نام Sansec گفته مهاجمان کد مخرب خود را در صفحات این فروشگاه های اینترنتی قرار داده و هنگام بازدید کاربران از سایت ،این کد از طریق بلوک CMS در Magento یک بارگذار آن جاوااسکریپت مخرب را به اجرا درمیاورد.این بارگذار تا زمانی که دستور بعدی را بگیرد با سرور مهاجم ارتباط برقرار میکند.سرور اول بررسی میکند که بازدیدکننده یک خریدار واقعیست یا خودش را اسکنر امنیتی است و خودش را جای کاربر جازده،پس اسکنر کد مخرب را نمیبینند و دریافت نمیکنند.
در جریان این اخبار و فعالیت ها 5 دامنه شناسایی شدند که آخرین دامنه deepveindrilling[.]com بود.این دامنه در 6 اکتبر ثبت شده و در بلوک‌های CMS تعداد ۸۳ فروشگاه اینترنتی دیده شده.
نفوذ کننده 2 بارگذار مختلف را استفاده میکرده.یکی کد مخرب را در localStorage مرورگر ذخیره کرده تا زمانی که دامنه مهاجم از دسترس خارج شد در بازدید های بعد دوباره اجرا شود.دیگری هم این قابلیت را دارد هم از روش پیشرفته تری یعنی شناسایی اثرانگشت مرورگر جهت فیلترکردن ربات ها و اسکنرهای امنیتی استفاده میکرده تا کدمخرب فقط به خریداران واقعی نشان داده شود.نوع دقیق بسته مخرب نهایی تا الان مشخص نشده است.
در ابتدای حمله مهاجم از پلتفرم Keitaro به عنوان سیستم توزیع ترافیک استفاده میکرده تا بر اساس ویژگی های بازدیدکننده های سایت به آن ها پاسخ های گوناگون دهد.اما جدیدا قابلیت مهم فیلتر کردن ربات ها در بارگذار ایجاد شده و پلتفرم Keitaro کنار رفته است.
بررسی های اخیر نشان داده که کدهای مخرب از طریق یک آسیب پذیری به نام PolyShell با شناسه CVE-2026-48356 به 471 فروشگاه ورود کرده اند.در حدود 102 فروشگاه مختلف دیگر هم فایل هایی با اسیب پذیری PolyShell یا SessionReaper با شناسه CVE-2025-54236 بارگذاری شدند. در یک مورد هم وب شل PolyShell که ظاهرش مشابه تصویرهای PNG بود، پیدا شدند و فرشگاه مد نظر هم هنوز پچ امنیتی مرتبط با PolyShell را نصب نکرده بود.
باتوجه به موارد پیش آمده به مدیران فروشگاه ها اعلام شد که حساب کاربری مشکوک و بلوک غیرمنتظره CMS را حتما به صورت کامل بررسی کنند در ادامه وب سایت هایشان را همیشه به روز کنند و گذرواژه هایشان را به طور قوی تنظیم کنند.
موازی با این روند تعدادی گزارش هم برای تلاش های انجام شده نسبت به سواستفاده از دو آسیب‌پذیری بحرانی PHP2Shell با شناسه‌های CVE-2026-109618 و CVE-2026-109619 منتشر شد.البته اجرای موفق دستورات شل در سرورهای هانی پات به واسطه این آسیب پذیری ها هم به اطلاع رسید اما اثری از فایل مخرب مرحله دوم نیست.