Un ataque a la cadena de suministro de Brevo inyectó scripts de ClickFix en los sitios web de los clientes

La com­pa­ñía de ges­tión de re­la­cio­nes con clien­tes y mar­ke­ting di­gi­tal Brevo con­fir­mó un ata­que a su ca­de­na de su­mi­nis­tro, en el cual los ata­can­tes sus­tra­je­ron una clave de API de Cloud­fla­re. Dicha clave, que po­seía per­mi­sos com­ple­tos sobre la cuen­ta y se en­con­tra­ba co­di­fi­ca­da de forma rí­gi­da den­tro del có­di­go fuen­te de la apli­ca­ción, per­mi­tió a los agre­so­res crear un Cloud­fla­re Wor­ker ma­li­cio­so para al­te­rar el con­te­ni­do en el borde de la red de en­tre­ga de con­te­ni­do (CDN).

Como con­se­cuen­cia de esta ma­ni­pu­la­ción, se in­yec­ta­ron scripts ma­li­cio­sos de Click­Fix en va­rios de los si­tios web de Brevo, así como en ar­chi­vos Ja­vaS­cript in­te­gra­dos en pá­gi­nas de clien­tes. El ata­que afec­tó a di­ver­sos do­mi­nios de la em­pre­sa y mo­di­fi­có se­cuen­cias de co­man­dos de for­mu­la­rios, el wid­get de Brevo Con­ver­sa­tions y scripts de carga del SDK, lo­gran­do ade­más eli­mi­nar ca­be­ce­ras de se­gu­ri­dad y evi­tar la de­tec­ción por parte de los ser­vi­do­res de ori­gen y las ve­ri­fi­ca­cio­nes de in­te­gri­dad es­tán­dar.

La firma de se­gu­ri­dad San­sec in­for­mó ini­cial­men­te sobre este in­ci­den­te, se­ña­lan­do que la afec­ta­ción pudo al­can­zar hasta a cien mil si­tios web que uti­li­za­ban los com­po­nen­tes com­pro­me­ti­dos de Brevo, ex­po­nien­do a los vi­si­tan­tes a pá­gi­nas de ve­ri­fi­ca­ción fal­sas y a ins­truc­cio­nes para eje­cu­tar co­man­dos ma­li­cio­sos en Win­dows. Asi­mis­mo, en si­tios de Word­Press con wid­gets afec­ta­dos, el script eva­lua­ba si el vi­si­tan­te era ad­mi­nis­tra­dor para in­ten­tar subir un com­ple­men­to ma­li­cio­so di­se­ña­do para ac­tuar como puer­ta tra­se­ra per­sis­ten­te y car­ga­dor de Ja­vaS­cript.

Pa­ra­le­la­men­te, Brevo había di­vul­ga­do un in­ci­den­te pre­vio re­la­cio­na­do con SSO en el que se se­cues­tra­ron cuen­tas de clien­tes para lan­zar ata­ques de phishing con­tra los usua­rios de em­pre­sas usua­rias del ser­vi­cio, afec­tan­do de ma­ne­ra no­ta­ble a pro­vee­do­res como Tre­zor. No obs­tan­te, Brevo no res­pon­dió si ambos in­ci­den­tes guar­da­ban re­la­ción, y se re­co­men­dó a los ad­mi­nis­tra­do­res de Word­Press afec­ta­dos ve­ri­fi­car la pre­sen­cia de plu­gins inusua­les y rotar sus con­tra­se­ñas.