В инфраструктуру Brevo внедрили код для доставки вредоносной нагрузки
14 сентября 2026 года вредоносный JavaScript распространялся через инфраструктуру Brevo и доставлял KongTuke ClickFix на 51 домен страниц, включая сайты клиентов и собственный сайт Brevo. Вредоносный код показывал поддельную панель верификации в стиле Cloudflare, копировал команду в буфер обмена посетителя и предлагал вставить её в Windows.
Изменения в скриптах Brevo
Внедрённый код добавлял элемент script со ссылкой на /f.js в файлы JavaScript Brevo. Остальное содержимое файлов оставалось неизменным. Модифицированные версии cdn.brevo.com/js/sdk-loader.js имели размер 3615–3616 байт, тогда как чистая версия занимала 3442 байта. Размер изменённых файлов sibforms.com/forms/end-form/build/main.js составлял 461 584–461 585 байт по сравнению с 461 411 байт в чистом виде.
Атака затрагивала скрипты трекера, размещённые формы, перенаправления для отслеживания электронной почты и страницы отписки Brevo. Семь поддоменов sendibt1.com обслуживали /f.js. Из 148 перехватов 132 обращались к одному хосту загрузчика, остальные использовали два или три хоста.
Скрипты совпадали с ранее известным кодом KongTuke по конструкции панели верификации, декодированию команд, управлению буфером обмена, проверкам WebGL, логике резервирования и телеметрии. Панель передавала данные о кликах и неудачных попытках копирования через navigator.sendBeacon, используя имена событий vclick и copy_fail.
Команда и варианты полезной нагрузки
Вставленная команда запускала cmd.exe и использовала запросы where с подстановочными символами для поиска утилит Windows. Для скрытия консоли она вызывала conhost.exe --headless. С помощью curl команда получала дополнительные инструкции из конечной точки /b?t= и передавала ответ напрямую в командную оболочку.
Более ранние варианты в основном распространяли приманку, основанную на браузере. Поздние варианты содержали рутину, нацеленную на вошедших в систему администраторов WordPress, потенциально для развёртывания плагина.
Связанные образцы загружали файлы, выполняли их совместно, собирали системную информацию с помощью команды systeminfo /FO CSV и запускали закодированный PowerShell.
Инфраструктура и связь с MintsLoader
Пересечения в инфраструктуре связали операцию с активностью MintsLoader, зафиксированной неделей ранее. Домены для загрузки использовали шаблонные имена из двух склеенных слов и четырёх цифр. В названиях часто встречались термины cdn, store и win.
Домен для промежуточного размещения резолвился в кластер из 97 доменов, сгенерированных аналогичным образом. Каждый из них имел длину 15 символов и доменный зон́т .top.
К 15 сентября все семь доменов загрузчика возвращали NXDOMAIN. На этом наблюдаемый путь доставки завершился.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
