Атака по веригата за доставки срещу Brevo разпространява задни врати за WordPress и зловреден код ClickFix на над 100 000 сайта

Компрометиране по веригата за доставки, засегнало Brevo, за кратко превърна широко използвани уеб инструменти в канал за разпространение на зловреден код. Атакуващите са внедрили злонамерен JavaScript в услуги, зареждани от клиентите на уебсайтовете, което излага на риск както посетителите, така и администраторите на WordPress.

Изследователи от Sansec са идентифицирали операцията от две части, след като са проследили променени скриптове в притежавани от Brevo услуги и потребителски интеграции. Първият вектор е бил насочен към влезли в системата WordPress администратори, докато вторият е използвал ClickFix овърлей срещу обикновени посетители.

Sansec заявява в доклад, споделен с Cyber Security News (CSN), че инцидентът показва как един доверен уеб компонент може бързо да увеличи мащаба на пробива.

Вместо да пробиват всеки уебсайт поотделно, киберпрестъпниците могат да компрометират споделена услуга и да използват нейния съществуващ обхват, за да поставят опасно съдържание пред широка аудитория.

Атака по веригата за доставки срещу Brevo

Зловредният код се е доставял между 16:05:18 и 20:12:53 UTC на 14 септември. Той се е появил на страниците на Brevo и в JavaScript, използван за уеб тракер и чат джаджа, създавайки риск навсякъде, където тези компоненти са били внедрени.

Когато посетител вече е бил влязъл в WordPress, скриптът е направил опит да инсталира разширение (plugin) през активната сесия на този администратор.

Sansec не са успели да възстановят разширението, но оценяват, че то най-вероятно е задна врата (backdoor) — риск, повторен в доклади за задни врати в доверени разширения за WordPress, които могат незабелязано да осигурят дълготраен достъп.

За останалите посетители скриптът е показвал цялоекранно ClickFix съобщение, преструващо се на стъпка за потвърждение на човек (human verification). То е поставяло команда в клипборда и е инструктирало потребителя да я постави и изпълни, превръщайки позната уеб интеракция в изпълнение на зловреден код, без да използва уязвимост в браузъра.

Мониторингът на компанията е регистрирал 2 549 доклада за нарушения на Content Security Policy (CSP) в 12 сайта по време и след прозореца на активността.

Зловредните хостове са спрели да се разрешават (resolve) на 15 септември и е съобщено, че засегнатият код е изчистен в източника, но кешираните копия и компрометираните сайтове остават причина за безпокойство.

Въпреки че първоначалното разкритие съобщаваше за шест отвлечени клиентски акаунта, констатациите на Sansec сочат към по-широко събитие от втория етап, засягащо споделена инфраструктура за доставка на съдържание.

Тази разлика е от значение, тъй като атака срещу хостван ресурс може да засегне сайтове, чиито собствени идентификационни данни за акаунт никога не са били откраднати.

Заплаха от ClickFix и мерки за защита

ClickFix разчита на убеждаване, а не на тихо изтегляне. Неговата фалшива проверка на браузъра кара хората сами да извършат последната стъпка — модел, виждан и в скорошни кампании със зловреден код ClickFix, които използват убедителни подкани, за да превърнат активността в клипборда в първоначално стъпване на устройството.

Собствениците на сайтове, използващи засегнатия тракер, чат джаджа или хоствана форма, трябва да прегледат логовете на уеб сървъра си за заявките за качване и активиране в WordPress, изброени по-долу.

Те също така трябва да инспектират инсталираните или активираните разширения на 14 септември и да сравнят файловете на диска с администраторската конзола, тъй като зловредно разширение може да се скрие от нормалния списък.

Посетителите, които са последвали подканата за проверка и са изпълнили командата ѝ, трябва незабавно да пуснат пълно сканиране с антивирусна програма и да съобщят за всяко подозрително поведение на устройството.

Организациите трябва да напомнят на персонала и клиентите си, че легитимните уебсайтове не изискват от потребителите да отварят терминал, диалогов прозорец Run или команден промпт, за да преминат проверка за сигурност, както се посочва в указанията относно фалшивите проверки за сигурност.

Екипите по сигурността трябва да запазят съответните логове, преди стандартният период за съхранение да ги изтрие, да ресетират привилегированите акаунти, където е оправдано, и да търсят непознати файлове или промени.

Мониторингът на JavaScript от трети страни и ограничаването на администраторските сесии могат да намалят шанса компрометирането на един доставчик да прерасне в по-широк пробив в сайта.

Наличните доказателства показват, че атакуващите може да са получили достъп до Cloudflare средата на Brevo, което е позволило както промени в DNS, така и модифицирани отговори в свързаните домейни.

Това остава оценка, а не потвърдена първопричина, но илюстрира защо скриптовете от трети страни заслужават внимателно наблюдение, ограничен административен достъп и бързи проверки за интегритет след инцидент с доставчик.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно дезактивирани (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.