資安威脅趨勢 - Magento遭駭客大規模植入惡意JavaScript，利用CMS區塊竊取使用者資料並發動惡意導流
Magento遭駭客大規模植入惡意JavaScript，利用CMS區塊竊取使用者資料並發動惡意導流 一、 摘要 資安業者Sansec揭露一起針對Magento及Adobe Commerce電子商務網站的大規模攻擊活動，駭客利用網站CMS區塊（CMS Block）植入惡意JavaScript載入器，當使用者瀏覽遭入侵網站時，瀏覽器便會連線至攻擊者控制的網域，依據訪客指紋判斷是否投放惡意程式或進行重新導向。 此次攻擊活動自2025年7月持續至今，已涉及953個網站。最新使用的惡意網域為deepveindrilling.com，攻擊者會持續更換網域並透過瀏覽器指紋規避自動化掃描，可能導致使用者遭惡意導流及資料竊取。 二 、存在風險 研究人員指出，攻擊者將惡意JavaScript植入Magento資料庫的cms_block及cms_page內容中，並利用localStorage儲存及執行惡意程式碼，同時透過navigator.webdriver、Selenium及ChromeDriver等特徵辨識自動化掃描工具，使安全掃描器難以取得實際攻擊內容。 此次攻擊可能透過PolyShell（CVE-2026-48356）及SessionReaper（CVE-2025-54236）等漏洞取得網站存取權限。即使移除惡意JavaScript，若攻擊者仍保有資料庫寫入權限或後門，仍可能再次植入惡意程式。建議企業檢查Magento CMS內容、管理員帳號及異常檔案，並更新相關安全修補程式。 IoC： 1. 惡意載入器網域及URL： deepveindrilling[.]com hdfdsi84j3h[.]top c85grt98sd[.]com 2. 歷史惡意網域： manulfie[.]click neswnsssn[.]click lanhd6549tdhse[.]top additionalver[.]com 3. 惡意URL： https://deepveindrilling[.]com/?s=d35c5031 https://deepveindrilling[.]com/?s=49b7ca5f&f...