953 E-Ticaret Sitesi Tarayıcıları Atlatan JavaScript Saldırısına Maruz Kaldı
Sansec'in raporuna göre kimliği belirsiz bir tehdit aktörü, çoğu Magento kullanan 953 çevrimiçi mağazayı enfekte etti. Saldırganlar, güvenlik tarayıcılarına yakalanmamak için yalnızca gerçek alışveriş yapan kullanıcıları hedef alan sinsi bir yöntem benimsiyor.
953 E-Ticaret Sitesi Tarayıcıları Atlatan JavaScript Saldırısına Maruz Kaldı
Sansec'in raporuna göre kimliği belirsiz bir tehdit aktörü, çoğu Magento kullanan 953 çevrimiçi mağazayı enfekte etti. Saldırganlar, güvenlik tarayıcılarına yakalanmamak için yalnızca gerçek alışveriş yapan kullanıcıları hedef alan sinsi bir yöntem benimsiyor.
Hollandalı e-ticaret güvenlik şirketi Sansec, Temmuz 2025'ten bu yana devam eden uzun soluklu bir kötü amaçlı yazılım kampanyasını ifşa etti. Saldırının merkezinde, e-ticaret sitelerinin sayfalarına yerleştirilen küçük bir kod parçası bulunuyor. Bu kod, mağazanın yönetim panelindeki CMS bloklarını kullanarak ziyaretçilerin tarayıcılarına zararlı bir JavaScript çalıştırıcısı (loader) yüklüyor.
Gerçek Kullanıcıyı Ayırt Eden Mekanizma
Saldırının en dikkat çekici yanı, kullandığı kaçış tekniği. Yerleştirilen kötü amaçlı kod, siteye giren ziyaretçinin tarayıcısını saldırganın sunucusuna yönlendiriyor ve ne yapılacağına dair talimat istiyor. Ancak sunucu, kendisine gelen isteğin arkasında bir insan mı yoksa bir güvenlik botu mu olduğunu kontrol ediyor.
Sansec'in konuya ilişkin açıklaması bu durumu net bir şekilde ortaya koyuyor: "Siz ziyaret ettiğinizde bu kod, tarayıcınızın grubun sunucusuna ne yapacağını sormasını sağlıyor. Sunucu önce sizin gerçek bir alışveriş yapan mı yoksa bir güvenlik tarayıcısı mı olduğunuzu kontrol ediyor, böylece tarayıcılar hiçbir şey almıyor." Bu sayede zararlı kod, otomatik tehdit algılama sistemlerine tamamen görünmez kalırken yalnızca kurbanlara ulaşıyor.
Araştırmacılar kampanya boyunca beş farklı alan adının kullanıldığını tespit etti. Temmuz 2025'te başlayan bu zincir, Ekim 2026'da kaydedilen "deepveindrilling.com" alan adıyla güncellendi. adresinde derlenen istihbarata göre, sadece bu son alan adı kısa süre içinde 83 çevrimiçi mağazanın CMS bloklarına sızmış durumda.
Saldırıda iki farklı çalıştırıcı sürümü gözlemlendi. İlk sürüm, kötü amaçlı kodu ziyaretçinin tarayıcısının yerel depolama alanına (localStorage) kaydediyor. Bu yöntem, saldırganın alan adı ileride kapatılsa bile zararlının kurbanın sisteminde kalıcı olmasını sağlıyor. Daha gelişmiş ikinci sürüm ise botları filtrelemek için tarayıcı parmak izi kontrolünü devreye sokuyor. Kampanyanın ilk dönemlerinde ayrıca, bir reklam takip platformu olan Keitaro'nun ziyaretçileri yönlendirmek ve filtrelemek için kullanıldığı belirlendi.
Arka plan
Saldırganların mağazalara ilk olarak nasıl girdiğine bakıldığında iki temel güvenlik açığı öne çıkıyor. Sansec, 471 mağazanın "PolyShell" olarak adlandırılan ve CVE-2026-48356 olarak izlenen bir açık üzerinden ele geçirildiğini tahmin ediyor. Bir diğer 102 mağazada ise dosya yüklemek için PolyShell veya CVE-2025-54236 (SessionReaper) açıkları kullanıldı.
Sansec'in aktardığı bir vakada, Magento 2.4.7-p1 sürümünü kullanan bir mağazaya PNG resmi kılığına sokulmuş web kabuklarının (webshell) yüklendiği ve bu dosyaların yanına da zararlı kodun eklendiği görüldü. İlginç bir şekilde, bu mağazanın Adobe'un PolyShell için yayınladığı APSB26-73 yamasını hâlâ yüklemediği tespit edildi. Ancak saldırılar yalnızca güncelleme almayan sistemleri hedeflemiyor; hiçbir çekirdek yama eksiği olmayan güncel bir sitede bile saldırganların sahte bir yönetici hesabı oluşturarak sızdığı kaydedildi.
Bu kampanyanın ortaya çıkışı, web dünyasını sarsan başka bir tehditle aynı döneme denk geliyor. Geçtiğimiz hafta ifşa edilen ve "PHP2Shell" olarak adlandırılan iki kritik PHP açığı (CVE-2026-109618 ve CVE-2026-109619), şimdiden geniş çaplı istismar girişimlerine sahne oldu. Perplexity araştırmacısı Adel Karimi, bu açıkların gerçek sunucular üzerinde komut çalıştırmak için kullanıldığına dair ilk kanıtları kaydetti.
Ne anlama geliyor?
Sansec'in bu ifşası, özellikle e-ticaret sektöründeki güvenlik ekipleri için alarm zillerinin çalması anlamına geliyor. Geleneksel güvenlik taramaları bu zararlıyı yakalayamadığı için site yöneticilerinin yalnızca otomatik araçlara güvenmeyip manuel denetim yapması şart. Özellikle CMS bloklarının, şüpheli yönetici hesaplarının ve istemci tarafındaki yerel depolama davranışlarının kontrol edilmesi kritik önem taşıyor.
Son kullanıcılar açısından bakıldığında ise asıl belirsizlik bu saldırının nihai amacında yatıyor. Saldırganın altyapısı, güvenlik yazılımlarını atlatmak için bu kadar karmaşık bir filtreleme yapıyorsa, nihai aşamada bulaştırılan zararlı yazılımın değerli olduğu açık. Sansec, bu son aşamada yüklenen kodun ne işe yaradığını henüz bilmediğini belirtiyor. Bu durum, saldırganların kurbanına göre kredi kartı çalma yazılımı, fidye yazılımı veya bilgi hırsızı gibi farklı silahları devreye sokabileceği ihtimalini güçlendiriyor.
Magento'nun dünya genelinde yaygın kullanımı göz önüne alındığında, saldırının kapsamının önümüzdeki günlerde daha da genişlemesi beklenebilir. Site sahiplerinin güvenlik yamalarını derhal uygulaması ve sistemlerindeki anormallikleri sıkı bir şekilde izlemesi, bu ve benzeri kampanyalara karşı en etkili savunma hattı olmaya devam ediyor.
