Hackers comprometem 953 lojas virtuais com código JavaScript evasivo

Uma campanha de ataques cibernéticos comprometeu 953 lojas virtuais, a maioria baseada na plataforma Magento, utilizando códigos JavaScript maliciosos capazes de identificar e evitar ferramentas automatizadas de segurança. A operação está ativa desde julho de 2025 e foi identificada pela empresa holandesa Sansec.

Segundo a investigação, os hackers inserem pequenos trechos de código nas páginas das lojas comprometidas. Quando um consumidor acessa o site, o navegador solicita instruções a um servidor controlado pelos invasores, que verifica se a conexão pertence a um visitante legítimo ou a um scanner de segurança. Caso identifique uma ferramenta automatizada, o servidor não entrega o código malicioso, dificultando a detecção da campanha.

A Sansec identificou cinco domínios associados à operação, incluindo deepveindrilling.com, registrado em 6 de outubro de 2026 e vinculado a 83 lojas. O domínio é hospedado por Cloudflare e responde seletivamente às solicitações de scripts de visitantes reais. O código malicioso é armazenado na tabela cms_block do Magento, executado durante a navegação. A investigação revelou duas versões do carregador malicioso, uma usando localStorage e outra técnicas de identificação do navegador.