REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Un script absent des fichiers du thème peut malgré tout être servi à tous les visiteurs. Sansec suit une campagne qui place son chargeur dans les blocs CMS de Magento et renouvelle ses domaines, avec une sélection des réponses selon le profil du navigateur.
Déroulement décrit par la source
- Sansec trouve le nouveau domaine dans 83 boutiques ; 60 d’entre elles utilisaient déjà un chargeur antérieur de la campagne.
- Le chargeur se situe dans la table cms_block ; Sansec ne le retrouve pas dans les fichiers du thème ni dans core_config_data pour les installations observées.
- Le serveur choisit sa réponse d’après une empreinte du navigateur ; lors de l’analyse, Sansec n’a pas encore capturé la charge finale de ce nouveau domaine.
Comprendre les mécanismes et les enseignements
- La réinfection peut venir d’un accès qui subsiste et non d’une mauvaise suppression du fichier identifié. Une analyse de boutique doit intégrer la base, les comptes administrateurs et les autres voies d’écriture utilisées pour publier du contenu.
- Une réponse vide obtenue par un scanner ne prouve pas l’absence de danger pour les clients. Les conditions de livraison peuvent différer selon le navigateur ; l’examen du contenu stocké reste indispensable pour compléter les tests externes.
Les vérifications défensives utiles
- Sauvegarder la base et les journaux avant nettoyage. Examiner les blocs CMS récemment modifiés, leurs auteurs et les comptes disposant d’un accès en écriture ; comparer les intégrations externes aux fournisseurs approuvés et aux changements attendus par l’équipe métier.
- Révoquer les accès non justifiés et rechercher la voie d’entrée avant de remettre le contenu en ligne. Vérifier les extensions, les interfaces d’administration et les secrets de base de données ; traiter les autres boutiques partageant les mêmes identités.
- Mettre en place une surveillance des changements de scripts et des domaines chargés au paiement. Tester les alertes avec une modification contrôlée, puis conserver une base de comparaison permettant de distinguer une évolution métier d’une insertion inconnue.
Portée et limites
Les 953 boutiques annoncées concernent la campagne depuis juillet 2025, pas uniquement son dernier domaine. Les chiffres de boutiques, d’installations serveur et de réobservations ne doivent pas être additionnés. L’effet final de la variante récente demeure inconnu dans l’extrait étudié.
Rapport original
deepveindrilling.com: Magento CMS block loader hits 953 stores — sansec.io.