Un ataque de compromiso de la cadena de suministro afectó a Brevo, convirtiendo sus herramientas web en un canal de distribución de malware. Los atacantes insertaron JavaScript malicioso en los servicios que cargan los sitios de sus clientes, exponiendo a visitantes y administradores de WordPress. Se estima que esta actividad alcanzó a más de 100,000 sitios web el pasado 14 de septiembre.

Un compromiso de la cadena de suministro que involucra a Brevo convirtió brevemente herramientas web ampliamente utilizadas en un canal de entrega de malware. Los atacantes insertaron JavaScript hostil en servicios que cargan los sitios web de los clientes, exponiendo tanto a los visitantes como a los administradores de WordPress.

La actividad alcanzó a más de 100,000 sitios de clientes el 14 de septiembre, según la investigación. Las personas que abrieron sitios afectados, funciones de chat, formularios de registro o páginas de baja de correo electrónico podrían recibir un aviso de verificación falso diseñado para hacer que ejecuten un comando.

Investigadores de Sansec identificaron la operación de dos partes tras rastrear scripts alterados en servicios propiedad de Brevo e integraciones de clientes. La primera vía se dirigió a administradores de WordPress con sesión iniciada, mientras que la segunda utilizó una superposición de ClickFix contra los visitantes comunes.

Sansec señaló en un informe que el incidente muestra cómo un solo componente web confiable puede multiplicar una intrusión rápidamente.

En lugar de irrumpir en cada sitio web por separado, los atacantes pueden comprometer un servicio compartido y utilizar su alcance existente para colocar contenido peligroso frente a grandes audiencias.

Ataque a la cadena de suministro de Brevo

El código malicioso se sirvió entre las 16:05:18 y las 20:12:53 UTC del 14 de septiembre. Apareció en páginas de Brevo y en el JavaScript utilizado para un rastreador de sitios web y un widget de chat, creando una exposición dondequiera que esos componentes hubieran sido embebidos.

Cuando un visitante ya había iniciado sesión en WordPress, el script intentaba instalar un plugin a través de la sesión activa de ese administrador.

Sansec no pudo recuperar el plugin, pero evaluó que probablemente se trataba de una puerta trasera (backdoor), un riesgo reflejado en los informes sobre puertas traseras en plugins confiables de WordPress que pueden proporcionar acceso duradero de forma silenciosa.

Para otros visitantes, el script mostraba un aviso de ClickFix a pantalla completa que se hacía pasar por un paso de verificación humana. Colocaba un comando en el portapapeles e instruía al usuario a pegarlo y ejecutarlo, convirtiendo una interacción web familiar en la ejecución de malware sin explotar ningún fallo del navegador.

Su monitoreo registró 2,549 informes de violación de la política de seguridad de contenido en 12 sitios durante y después de la ventana de actividad.

Los hosts maliciosos dejaron de resolverse el 15 de septiembre, y se informó que el código afectado estaba limpio en el origen, pero las copias almacenadas en caché y los sitios comprometidos siguen siendo una preocupación.

Aunque la divulgación inicial describió seis cuentas de clientes secuestradas, los hallazgos de Sansec apuntan a un evento de segunda etapa más amplio que afecta a la infraestructura de entrega compartida.

Esa distinción es importante porque un ataque a un activo alojado puede afectar a sitios que nunca tuvieron sus propias credenciales de cuenta robadas.

Exposición y respuesta de ClickFix

ClickFix se basa en la persuasión más que en una descarga silenciosa. Su falso chequeo del navegador pide a las personas que realicen el paso final ellos mismos, un patrón también visto en campañas recientes de malware de ClickFix que utilizan avisos convincentes para convertir la actividad del portapapeles en un punto de apoyo inicial en un dispositivo.

Los propietarios de sitios que utilizaron el rastreador afectado, el widget de chat o el formulario alojado deben revisar los registros del servidor web en busca de las solicitudes de carga y activación de WordPress enumeradas a continuación.

También deben inspeccionar los plugins instalados o activados el 14 de septiembre y comparar los archivos en el disco con la consola de administración, ya que un plugin malicioso puede ocultarse de la lista normal.

Los visitantes que siguieron el aviso de verificación y ejecutaron su comando deben realizar un escaneo completo de antivirus a la brevedad e informar cualquier comportamiento sospechoso del dispositivo.

Las organizaciones deben recordar a su personal y clientes que los sitios web legítimos no requieren que los usuarios abran una terminal, el cuadro de diálogo Ejecutar o un símbolo del sistema para pasar un control de seguridad, como deja claro la guía sobre ataques de verificación falsos.

Los equipos de seguridad deben preservar los registros relevantes antes de que la retención normal los elimine, restablecer las cuentas privilegiadas donde esté justificado y buscar archivos o cambios desconocidos.

Monitorear el JavaScript de terceros y limitar las sesiones de administrador puede reducir la posibilidad de que el compromiso de un solo proveedor se convierta en una brecha del sitio más amplia.

La evidencia disponible sugiere que los atacantes pudieron haber obtenido acceso al entorno de Cloudflare de Brevo, permitiendo tanto cambios de DNS como respuestas alteradas en dominios relacionados.

Eso sigue siendo una evaluación, no una causa raíz confirmada, pero ilustra por qué los scripts de terceros merecen un monitoreo cercano, acceso administrativo restringido y verificaciones rápidas de integridad después de un incidente con un proveedor.

Fuentes:
https://cybersecuritynews.com/brevo-supply-chain-attack/