Злоумышленники скомпрометировали сайты Brevo и активы клиентов

14 сентября сайты Brevo и клиентские активы компании были скомпрометированы. Внедрённый код обнаружили на страницах Brevo и в размещённых формах, а также в файлах трекера sdk-loader.js и виджета чата brevo-conversations.js, встроенных продавцами. Код распространялся с 16:05:18 до 20:12:53 по UTC.

За этот период и после него Sansec зафиксировала 2 549 отчётов о нарушениях политики безопасности контента (CSP) на 12 сайтах. После инцидента затронутые доменные имена объявили чистыми, а 15 сентября вредоносные хосты перестали разрешаться через DNS.

Внедрённый JavaScript-код f.js проверял, авторизован ли посетитель в WordPress. Для авторизованных посетителей он пытался установить плагин с адреса cdn10.sendibt1.com/p/wm.zip. Сам плагин не был изъят, однако в отчёте его оценивают как вероятную бэкдор-программу.

Остальным посетителям показывали запрос ClickFix с просьбой подтвердить, что они люди. Им предлагали скопировать и вставить команду, выполнение которой потенциально могло привести к запуску ВПО на их устройствах. Код был настроен так, чтобы не срабатывать для поисковых роботов, разработчиков и автоматизированных сканеров.

В отчёте предполагается, но не подтверждается, что злоумышленники могли скомпрометировать аккаунт Brevo в Cloudflare. 25 августа для принадлежащего Brevo домена cdn.sendibt1.com создали SSL-сертификат, а злоумышленники добавили DNS-записи cdn*. Корневые домены Brevo использовали DNS Cloudflare. По оценке авторов отчёта, компрометация общего аккаунта могла позволить изменять DNS и модифицировать контент, потенциально с помощью Cloudflare Workers или Snippets.

Авторы отчёта рекомендуют клиентам Brevo проверить журналы доступа WordPress на наличие запросов на загрузку плагинов по адресу /wp-admin/update.php?action=upload-plugin и последующих запросов на активацию по адресу /wp-admin/plugins.php?action=activate от 14 сентября. Также они рекомендуют расследовать случаи установки или активации плагинов в этот день, в том числе проверить, совпадают ли список плагинов в административной панели WordPress и файлы на диске. Посетителям, которые следовали инструкциям ClickFix, авторы рекомендуют просканировать устройства на наличие ВПО.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.