В результате атаки на цепочку поставок почтовая платформа Brevo подверглась взлому. Причиной стала утечка API-ключа Cloudflare, обладающего максимальными правами доступа, который разработчики ошибочно включили в исходный код приложения. Это дало злоумышленникам возможность тайно внедрять вредоносные скрипты в формы подписки, виджеты и загрузчики SDK сервиса, используемые на сторонних сайтах.
Под воздействие атаки попали домены brevo.com, sendinblue.com и sibforms.com, что привело к автоматическому распространению вредоносного кода по веб-сайтам клиентов. Посетители зараженных страниц видели имитацию формы проверки Cloudflare с инструкциями, напоминающими ClickFix: пользователям предлагалось вручную скопировать и выполнить команду в консоли Windows для обхода стандартных мер безопасности браузера.
Вредоносная активность также затронула ресурсы на базе WordPress. Для авторизованных администраторов скрипт незаметно устанавливал бэкдор, маскируясь под плагин Web Media Optimizer. Этот вредонос был скрыт из списка установленных расширений, скопирован в директорию обязательных плагинов и создавал учетную запись с правами администратора без пароля.
По мнению специалистов компании Sansec, атака затронула более 100 тысяч веб-сайтов. Владельцам сайтов рекомендуется немедленно проверить каталоги плагинов, удалить подозрительные модули и обновить учетные данные администраторов.
