Un ataque a la cadena de suministro de Brevo inyecta malware en 100 000 sitios web

La pla­ta­for­ma de in­ter­ac­ción con clien­tes Brevo su­frió un ata­que a la ca­de­na de su­mi­nis­tro que pro­vo­có la in­ser­ción de có­di­go ma­li­cio­so en una gran can­ti­dad de si­tios web. Ini­cial­men­te, la in­tru­sión ocu­rrió cuan­do un actor ma­li­cio­so apro­ve­chó una vul­ne­ra­bi­li­dad re­la­cio­na­da con el ma­ne­jo de SAML SSO para ac­ce­der a va­rias cuen­tas, lo que per­mi­tió a los ata­can­tes en­viar co­rreos de tipo *phishing* y ex­por­tar con­tac­tos.

Aun­que se cerró ese ac­ce­so ini­cial, los ata­can­tes re­gre­sa­ron pos­te­rior­men­te uti­li­zan­do una clave de API de Cloud­fla­re com­pro­me­ti­da para des­ple­gar un *wor­ker*. Este re­cur­so in­tro­du­jo scripts ma­li­cio­sos en do­mi­nios de la com­pa­ñía y en ar­chi­vos Ja­vaS­cript que los clien­tes in­te­gran en sus pá­gi­nas, mos­tran­do a cier­tos vi­si­tan­tes una pá­gi­na falsa de ve­ri­fi­ca­ción de Cloud­fla­re me­dian­te la téc­ni­ca de in­ge­nie­ría so­cial co­no­ci­da como Click­Fix.

En los si­tios de Word­Press que uti­li­za­ban un *wid­get* de la pla­ta­for­ma, el script in­ten­ta­ba ins­ta­lar y eje­cu­tar un com­ple­men­to si el vi­si­tan­te tenía una se­sión de ad­mi­nis­tra­dor ac­ti­va. Tras la eli­mi­na­ción del com­po­nen­te ma­li­cio­so y la re­vo­ca­ción de las cre­den­cia­les afec­ta­das, se su­gi­rió a los ad­mi­nis­tra­do­res re­vi­sar sus por­ta­les en busca de mo­di­fi­ca­cio­nes no au­to­ri­za­das y a los usua­rios ve­ri­fi­car sus equi­pos ante la po­si­ble pre­sen­cia de soft­wa­re ma­li­cio­so.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre la iden­ti­dad de los ata­can­tes ni sobre po­si­bles re­per­cu­sio­nes adi­cio­na­les más allá de las men­cio­na­das.