magento mağazaları hedef alan javascript saldırısı: 953 site enfekte olmuş

arkadaşlar, hollandalı e-commerce güvenlik şirketi sansec’ten kötü haber geldi. bilinmeyen bir saldırgan grubu, temmuz 2025’ten beri devam eden bir kampanyada 953 online mağazayı enfekte etmiş. bunların çoğu magento üzerinde çalışıyor, yani e-ticaret dünyasında ciddi bir sıkıntı var.

neler oluyor?

şöyle ki arkadaşlar, saldırganlar magento cms bloklarının içine küçük bir javascript yükleyici kodu enjekte etmiş. müşteri mağazaya girdiğinde, bu kötü niyetli kod otomatikman yükleniyor. spoiler: bu kod ödeme bilgilerini, kart numaralarını ve kişisel verileri çalabiliyor. yani siber tımarhanede ciddi bir sıkıntı.

sansec’in raporuna göre, saldırganlar şu şeyleri yapıyor:

• magento mağazalarının admin panellerine sızıyorlar (muhtemelen zayıf şifreler, kullanılmayan eklentiler vs)
• magento cms bloklarının içine javascript kodu ekliyorlar
• bu kod, ziyaretçilerin tarayıcısında çalışıyor ve ödeme verileri çalıyor
• edit: scanner’ları atlatmak için kod obfuscate ediliyor, yani güvenlik taramaları bunu görmüyor

etkilenen sistemler

yapmanız gerekenler (acil):

1. Magento mağazanız varsa hemen kontrol edin:

# Magento dosyalarında şüpheli javascript kodu arayın
grep -r "eval\|base64_decode\|atob" /var/www/magento/app/code/

# CMS bloklarını kontrol edin (database'de)
mysql -u root -p magento_db -e "SELECT * FROM cms_block WHERE content LIKE '%<script%';"

# Son değişiklikleri kontrol edin
find /var/www/magento -type f -mtime -30 -name "*.js" -o -name "*.phtml"

2. Admin paneli güvenliğini kontrol edin:

# Magento admin kullanıcılarını listeleyin
mysql -u root -p magento_db -e "SELECT username, email FROM admin_user;"

# Zayıf şifreleri değiştirin (admin panelden yapılabilir)
# Yönetici > Sistem > Diğer Kullanıcılar menüsünden şifreleri sıfırlayın

3. Eklentileri güncelleyin:

# Composer kullanıyorsanız
cd /var/www/magento
composer update

# Magento Connect'ten eski/kullanılmayan eklentileri silin

4. Log dosyalarını kontrol edin:

# Son 7 günün admin erişim loglarını kontrol edin
tail -500 /var/www/magento/var/log/system.log | grep -i admin

# Şüpheli IP adreslerini bulun
grep "admin" /var/www/magento/var/log/system.log | grep -oE '\b([0-9]{1,3}\.){3}[0-9]{1,3}\b' | sort | uniq -c

geçici çözümler (yamayı hemen uygulayamıyorsanız):

• WAF kuralı: Magento admin paneline erişimi IP whitelist’ine göre kısıtlayın
• İki faktörlü kimlik doğrulama: Admin hesaplarına 2FA ekleyin
• Ağ seviyesi: Magento admin paneline sadece ofis IP’lerinden erişim sağlayın
• Dosya izinleri: CMS blok dosyalarının izinlerini 644 olarak ayarlayın, yazma yetkisini kaldırın

edit: önemli uyarılar

spoiler: bu saldırı çok sofistike, yani scanner’ları atlatıyor. düzenli güvenlik taraması yetmeyebilir.

dikkat: eğer magento mağazanız varsa ve bu saldırıdan etkilendiyseniz, müşterilerinize uyarı verin. kart bilgilerinin çalınmış olabileceğini söyleyin.

edit 2: sansec, etkilenen mağazalar için bir tarama aracı yayınlamış. sansec.io’ya giderek mağazanızı kontrol edebilirsiniz.

kaynaklar

• The Hacker News - Orijinal Haber
• Sansec - E-commerce Güvenlik
• Magento Güvenlik Güncellemeleri

Bu içerik yapay zeka tarafından oluşturulmuştur.