Chiến dịch tiêm mã độc JavaScript vào 953 cửa hàng Magento: Phân tích kỹ thuật

• Quy mô tấn công: Hơn 953 cửa hàng trực tuyến chạy Magento đã bị lây nhiễm mã độc JavaScript từ tháng 07/2025.
• Kỹ thuật né tránh: Mã độc sử dụng cơ chế kiểm tra dấu vân tay trình duyệt (browser fingerprinting) để phân biệt giữa người dùng thật và các trình quét tự động.
• Lỗ hổng khai thác: Kẻ tấn công lợi dụng các lỗ hổng tải tệp tin không kiểm soát như CVE-2026-48356 và CVE-2025-54236 để chèn webshell.
• Khuyến nghị: Quản trị viên cần rà soát bảng cms_block, cms_page và cập nhật bản vá bảo mật từ Adobe ngay lập tức.

Một nhóm tội phạm mạng đang thực hiện chiến dịch tấn công quy mô lớn nhắm vào các cửa hàng trực tuyến sử dụng nền tảng Magento. Theo báo cáo từ các chuyên gia an ninh mạng tại Sansec, kể từ tháng 07/2025, đã có 953 cửa hàng bị lây nhiễm mã độc JavaScript. Chiến dịch này vẫn đang tiếp diễn với việc kẻ tấn công liên tục thay đổi tên miền điều khiển (C2) để duy trì sự hiện diện.

Cơ chế tấn công và kỹ thuật né tránh

Điểm đáng chú ý nhất của chiến dịch này là khả năng né tránh các trình quét bảo mật (security scanners). Thay vì thực thi mã độc ngay lập tức, đoạn script được tiêm vào sẽ thực hiện một bước kiểm tra phía máy chủ. Nếu phát hiện truy cập từ các công cụ quét tự động, mã độc sẽ không kích hoạt, khiến các kết quả kiểm tra bảo mật thông thường hiển thị trạng thái "sạch".

Kẻ tấn công đã nâng cấp mã độc vào tháng 10/2026. Phiên bản mới thực hiện thu thập dấu vân tay trình duyệt (browser fingerprinting), bao gồm thông tin về GPU, độ phân giải màn hình, múi giờ và kiểm tra các dấu hiệu tự động hóa như navigator.webdriver, Selenium globals hoặc các thuộc tính của ChromeDriver.

Khai thác lỗ hổng và duy trì sự hiện diện

Nhóm tấn công thường xuyên sử dụng các lỗ hổng tải tệp tin để chèn webshell vào hệ thống. Cụ thể, các lỗ hổng sau đã được ghi nhận trong quá trình điều tra:

Dữ liệu từ Sansec cho thấy 169 cài đặt Magento 2 bị nhiễm mã độc do thiếu các bản vá bảo mật cốt lõi. Trong đó, 102 trường hợp có dấu hiệu bị chèn webshell thông qua các lỗ hổng nêu trên. Ngay cả khi cửa hàng đã được vá, kẻ tấn công vẫn có thể duy trì quyền truy cập nếu cơ sở dữ liệu chưa được làm sạch hoàn toàn.

Hướng dẫn săn tìm mối đe dọa (Threat Hunting)

Để phát hiện sự hiện diện của mã độc, quản trị viên cần thực hiện rà soát thủ công các bảng dữ liệu quan trọng trong cơ sở dữ liệu Magento. Các mẫu mã độc thường ẩn náu trong bảng cms_block và cms_page.

Các chỉ số nhận biết (IoCs) cần kiểm tra bao gồm:

• Từ khóa tìm kiếm: fpCode, se_referrer, localStorage.getItem.
• Kiểm tra tệp tin: Rà soát các thư mục tải lên như pub/media/custom_options/ để tìm kiếm các tệp tin lạ.
• Quản trị viên: Kiểm tra bảng admin_user để phát hiện các tài khoản không xác định.

⚠️ Cảnh báo quan trọng: Việc xóa đoạn script trong cơ sở dữ liệu là chưa đủ. Kẻ tấn công có thể đã thiết lập các cửa sau (backdoor) khác. Sau khi làm sạch, bắt buộc phải thay đổi toàn bộ mật khẩu quản trị, mật khẩu cơ sở dữ liệu và khóa API.

Khuyến nghị phòng thủ và Hardening

Để bảo vệ hệ thống trước các cuộc tấn công tương tự, quản trị viên cần tuân thủ các bước sau:

1. Cập nhật bản vá: Áp dụng ngay các bản cập nhật từ Adobe, đặc biệt là APSB26-73 (khắc phục PolyShell) và APSB25-88 (khắc phục SessionReaper).
2. Triển khai WAF: Sử dụng Web Application Firewall để chặn các yêu cầu khai thác đã biết trong khi chờ đợi lịch trình bảo trì hệ thống.
3. Giám sát định kỳ: Sử dụng các công cụ quét chuyên dụng để kiểm tra tính toàn vẹn của tệp tin và cơ sở dữ liệu.

Thông tin chi tiết về các chỉ số IoCs và các tên miền liên quan có thể tham khảo thêm tại báo cáo nghiên cứu của Sansec để cập nhật danh sách chặn trên tường lửa hoặc hệ thống SIEM của doanh nghiệp.