Атака на цепочку поставок Brevo: похищенный ключ Cloudflare заражал сайты клиентов

Компания Brevo, предоставляющая сервисы CRM и цифрового маркетинга, подтвердила инцидент, при котором атакующие похитили API-ключ Cloudflare и использовали его для внедрения вредоносных скриптов ClickFix. Заражению подверглись как собственные сайты Brevo, так и JavaScript-файлы виджетов, которые клиенты встраивают на свои страницы.

Как это работало

По данным разбора, опубликованного самой компанией, злоумышленники получили долгоживущий ключ с полными правами на аккаунт — он был жёстко прописан прямо в исходном коде приложения. С его помощью удалось создать вредоносный Cloudflare Worker, который на протяжении примерно пяти с половиной часов 14 сентября переписывал ответы прямо на пограничных узлах CDN.

Коварство приёма в том, что подмена происходила на лету: исходные серверы и файлы Brevo оставались нетронутыми, поэтому стандартные проверки целостности ничего не замечали. Заодно воркер удалял защитные заголовки, включая Content-Security-Policy. Затронуты оказались страницы brevo.com, sendinblue.com, ряд поддоменов, а также скрипты форм, виджета Conversations и загрузчика SDK.

Brevo подчёркивает, что приложение app.brevo.com, API, инфраструктура доставки писем и данные учётных записей клиентов не пострадали. Ключ, по её оценке, мог быть скомпрометирован ещё в конце августа, однако следов более ранней вредоносной активности не обнаружено.

Что видели посетители

Первой о проблеме сообщила фирма Sansec, оценившая охват в потенциально до 100 тысяч сайтов, использующих затронутые компоненты Brevo. Посетителям показывали поддельную страницу проверки Cloudflare, а затем — инструкции ClickFix, предлагающие выполнить команду в Windows.

На сайтах под управлением WordPress скрипт вёл себя изощрённее: он проверял, залогинен ли посетитель как администратор, и пытался установить вредоносный плагин под видом «Web Media Optimizer». На деле это бэкдор, который прячется из списка плагинов, копирует себя в каталог must-use для закрепления и периодически связывается с сервером управления. Плагин подгружает и внедряет посетителям вредоносный JavaScript, хранит резервную копию последнего рабочего адреса на случай недоступности сервера и содержит зашитый ключ, позволяющий создать сессию администратора без пароля.

Второй инцидент за неделю

Это не единственная неприятность Brevo: 10 сентября компания раскрыла отдельный инцидент, связанный с SSO, — тогда через угнанные аккаунты рассылались фишинговые письма. Среди пострадавших оказался производитель криптокошельков Trezor: фишинг достиг 347 тысяч адресов, не менее 2500 пользователей были скомпрометированы. Связаны ли два инцидента, в Brevo не прокомментировали.

Администраторам WordPress, заходивших на затронутые сайты 14 сентября, рекомендуют проверить недавно установленные или активированные плагины, удалить подозрительные и сменить пароли.

Источник: Bleeping Computer