Atak na Brevo: złośliwy skrypt w widżetach trafił na ponad 100 000 stron

Ponad 100 000 stron osadzających widżety Brevo serwowało 14 września złośliwy skrypt, szacuje firma Sansec. Atakujący użyli przejętego, długo ważnego klucza API Cloudflare i uruchomili workera, który wstrzykiwał kod do brevo.com, sibforms.com oraz trzech plików JavaScript osadzanych przez klientów na ich stronach. Wcześniej, 10 września, przez lukę w obsłudze logowania SAML SSO dostali się do 138 kont Brevo. Z sześciu wysłali phishing, a z 43 wyeksportowali kontakty.

Skrypt pokazywał wybranym odwiedzającym fałszywą stronę „Cloudflare, potwierdź, że jesteś człowiekiem” z poleceniem wklejenia i uruchomienia komendy na komputerze (technika ClickFix). Na stronach WordPress, gdy odwiedzający był zalogowany jako administrator, skrypt próbował zainstalować i uruchomić wtyczkę. Worker działał około pięciu i pół godziny, zanim Brevo go usunęło i unieważniło klucz oraz dane logowania.

Sansec zaleca przejrzenie każdej strony korzystającej z Brevo. Administratorzy powinni sprawdzić, czy nie pojawiły się wtyczki zainstalowane bez ich wiedzy, a osoby, którym wyświetliła się fałszywa weryfikacja, powinny sprawdzić komputer pod kątem złośliwego oprogramowania.