Brevo 供应链攻击在客户网站上注入 ClickFix 脚本

Brevo 证实，攻击者窃取了一个 Cloudflare API 密钥，并利用它向其网站以及嵌入在客户网站上的 JavaScript 文件中注入恶意 ClickFix 脚本，以传播恶意软件。

这家客户关系管理和数字营销公司表示，攻击者利用该 API 密钥创建了一个恶意 Cloudflare Worker，在 9 月 14 日约五个半小时内修改了 CDN 边缘的内容。

此次攻击影响了 brevo.com、sendinblue.com、login/account/my/onboarding.brevo.com 和 sibforms.com 上的页面。该 Cloudflare Worker 还修改了客户嵌入其网站的 Brevo 表单脚本、Brevo Conversations 组件和 Brevo SDK 加载脚本。

在今天发布的一份事后分析报告中，Brevo 解释说，攻击者获取了一个具有完整账户权限的长期有效的 Cloudflare API 密钥，该密钥被硬编码在应用程序源代码中，这使他们能够在 Brevo 的各区域创建 Cloudflare Worker、路由和 DNS 记录而不触发任何警报。

"由于该 Worker 在边缘重写了响应并移除了诸如 Content-Security-Policy 之类的安全标头，我们的源服务器和文件保持未被修改，标准完整性检查无法检测到这一更改，"Brevo 解释道。

该公司表示，该密钥可能早在 8 月底就已被泄露，但没有证据表明此前存在恶意活动。

在检测到入侵后，Brevo 移除了该 Worker 及其路由，并将暴露时间窗口界定为 UTC 时间 16:07 至 20:30 之间。

在随后的数小时内，该公司吊销了被泄露的密钥及用其创建的凭据，从源代码中移除了硬编码凭据，删除了攻击者控制的主机名，并清除了其边缘缓存。

Brevo 表示，app.brevo.com、其 API、电子邮件投递基础设施以及客户账户数据均未受影响。

被用于 ClickFix 攻击

该事件最初由安全公司 Sansec 报告，其称可能已影响多达 10 万个使用受影响 Brevo 组件的网站。

Sansec 表示，该事件始于 2026 年 9 月 14 日 UTC 时间 16:05 至 20:13 之间，但现已确认所有恶意子域名均于 9 月 15 日停止解析，Brevo 文件现已干净。

访问这些网站的访客会看到一个伪造的 Cloudflare 验证页面，随后是 ClickFix 指引，敦促他们在 Windows 上运行一条命令。

在嵌入了受影响 Brevo 组件的 WordPress 网站上，该脚本还会检查访客是否以管理员身份登录，并尝试从 https://cdn10.sendibt1[.]com/p/wm.zip 上传一个恶意插件。

虽然 SanSec 未能获取该压缩包，但 BleepingComputer 发现它已被上传至 VirusTotal，并可以确认它伪装成一个名为 "Web Media Optimizer" 的 WordPress 插件，但实际上充当持久化后门和 JavaScript 加载器。

BleepingComputer 看到的其他分发该恶意 WordPress 插件和脚本的域名包括 https://yelahaye[.]surf 和 https://boiseno[.]club。

一旦安装，它会将自己从 WordPress 插件列表中隐藏，把自身复制到 must-use 插件目录以实现持久化，并定期联系攻击者控制的服务器 'https://glegchner.com/ads.php'。

该 URL 目前返回一个 Base64 编码的 URL，指向该插件随后注入访客页面的 JavaScript。当前的 Base64 编码 URL 解码后为 https://corralos[.]beer/a412dkoq.js，网站会注入该地址以获取要显示的 ClickFix 诱饵。

该插件还存储了最后一个有效 JavaScript URL 的备份副本，以便在远程服务器不可用时继续加载恶意代码。

最后，该插件包含一个硬编码的认证密钥，允许攻击者在不知道账户密码的情况下为某个 WordPress 管理员账户生成有效的登录会话。

9 月 10 日，Brevo 披露了另一起与 SSO 相关的事件，其中攻击者劫持了客户账户，并针对使用 Brevo 的公司客户发起了钓鱼攻击。

一个备受瞩目的受害者是加密货币钱包厂商 Trezor，其于 9 月 11 日报告称，钓鱼攻击波及 347,000 个用户电子邮件地址，并成功入侵了至少 2,500 个。

对于 SSO 事件与 Cloudflare 入侵是否相关，Brevo 未回应 BleepingComputer 的提问。

在 9 月 14 日登录状态下访问过受影响网站的 WordPress 管理员，应检查当天安装或激活的可疑插件并将其移除。如发现此类插件，还应轮换管理员密码。