953 cửa hàng trực tuyến bị nhiễm mã độc trong chiến dịch kéo dài nhiều tháng

Công ty an ninh mạng Sansec vừa công bố phát hiện một chiến dịch mã độc quy mô lớn nhắm vào các cửa hàng trực tuyến, với tổng cộng 953 trang web bị nhiễm mã loader độc hại. Phần lớn nạn nhân là các cửa hàng đang vận hành trên nền tảng Magento — một trong những hệ thống thương mại điện tử phổ biến nhất thế giới, được nhiều doanh nghiệp Việt Nam sử dụng.

Magento - nền tảng thương mại điện tử bị nhắm mục tiêu

Chiến dịch kéo dài từ giữa năm 2025

Theo Sansec, các cuộc tấn công đã diễn ra liên tục từ tháng 7/2025 và kẻ tấn công đã xoay vòng qua năm tên miền khác nhau để phục vụ đoạn mã JavaScript loader.

Bốn tên miền đầu tiên — manulfie.click, neswnsssn.click, lanhd6549tdhse.top và additionalver.com — được sử dụng trên hàng trăm cửa hàng. Đáng chú ý, hai tên miền neswnsssn.click và manulfie.click đã hết hạn và được đăng ký lại vào tháng 5/2026, hiện trỏ về máy chủ tên miền của một dịch vụ giữ chỗ tên miền (abovedomains.com). Dù vậy, trong khoảng tháng 8 đến tháng 10/2026, Sansec vẫn ghi nhận mã loader từ manulfie.click trên 9 cửa hàng và từ neswnsssn.click trên 6 cửa hàng.

Đến tháng 10/2026, nhóm tấn công chuyển sang tên miền deepveindrilling.com. Tên miền này nằm sau Cloudflare và chỉ phản hồi các yêu cầu xuất phát từ script chạy trên trình duyệt của người truy cập vào các cửa hàng bị nhiễm. Theo Sansec, mã loader này đã xuất hiện trên 83 cửa hàng, trong đó có 60 cửa hàng từng dính các phiên bản loader trước đó.

Dịch vụ giám sát CSP của Sansec ghi nhận trình duyệt của người truy cập đã tải cả bốn tên miền cũ, riêng additionalver.com có khoảng 52.000 lượt tải.

Lỗ hổng PolyShell và SessionReaper bị khai thác

Trong tháng 3, 471 cửa hàng Magento đã bị chèn mã loader thông qua lỗ hổng PolyShell (CVE-2026-48356). Sansec cũng phát hiện hơn 100 cửa hàng có tệp tin được tải lên qua các lỗ hổng PolyShell hoặc SessionReaper (CVE-2025-54236).

Điều đáng lo ngại là ngay cả những cửa hàng đã vá lỗi vẫn có thể bị lây nhiễm. Sansec dẫn chứng một cửa hàng chạy Magento 2.4.7-p10, không thiếu bản vá lõi nào, nhưng vẫn bị chèn mã deepveindrilling.com vào lúc 16:46 UTC ngày 23/10 — chỉ một giờ sau khi được quét sạch. Trước đó, công cụ eComscan đã phát hiện trên hệ thống này một tài khoản quản trị lạ vào ngày 16/9 và một backdoor GSocket vào ngày 24/9.

Kỹ thuật né tránh tinh vi

Mã loader được thiết kế để thực hiện nhận diện dấu vết người truy cập (fingerprinting), qua đó chỉ phân phối payload cho người dùng thật, còn với các công cụ điều tra an ninh thì không làm gì cả nhằm tránh bị phát hiện.

Sansec cho biết chưa thu được payload cuối cùng, nhưng các phiên bản loader trước đây đã phân phối script từ những tên miền mang chủ đề tiền mã hóa, trong đó có một tên miền mạo danh thương hiệu ví Ledger. Đây là dấu hiệu cho thấy mục tiêu cuối cùng có thể là đánh cắp tài sản số của người dùng.

Mã độc nhắm vào người dùng thương mại điện tử

Khuyến nghị cho chủ cửa hàng trực tuyến

Sansec đưa ra loạt khuyến nghị dành cho các chủ cửa hàng trực tuyến, đặc biệt hữu ích với các doanh nghiệp Việt Nam đang vận hành website bán hàng trên Magento:

• Kiểm tra mã nguồn của hệ quản trị nội dung (CMS) để tìm đoạn mã loader lạ.
• Rà soát lỗ hổng và backdoor có thể bị kẻ tấn công lợi dụng trên hệ thống.
• Tìm tài khoản quản trị bất thường và loại bỏ ngay nếu phát hiện.
• Dọn dẹp hệ thống, đổi toàn bộ mật khẩu sau khi xử lý.
• Cập nhật bản vá mới nhất cho mọi thành phần đang triển khai.

Với các doanh nghiệp Việt Nam, việc thường xuyên giám sát mã độc trên website bán hàng không chỉ bảo vệ dữ liệu khách hàng mà còn giữ gìn uy tín thương hiệu — bởi một cửa hàng trực tuyến bị nhiễm mã độc có thể khiến khách hàng mất tiền oan khi thanh toán.