Lieferketten-Angriff auf Brevo schleust Malware in über 100.000 Kundenwebsites ein

Ein Lieferketten-Angriff auf die Marketingplattform Brevo schleuste am 14. September bösartige Skripte in mehr als 100.000 Kundenwebsites ein, wodurch Besucher gefälschten CAPTCHA-Aufforderungen ausgesetzt wurden, die sie zur Ausführung von Malware verleiten sollten, und ein verstecktes Hintertür-Plugin auf WordPress-Seiten platziert wurde, deren Administratoren zu diesem Zeitpunkt eingeloggt waren.

Brevo — früher als Sendinblue bekannt — bietet einbettbare Formulare, Chat-Widgets und E-Mail-SDKs, die Tausende Unternehmen direkt auf ihren eigenen Websites laden. Genau diese Einbettung verwandelte den Einbruch bei einem einzigen Unternehmen in eine Angriffsfläche, die sich über Hunderttausende nicht verbundener Websites erstreckte: Als Brevos eigene Skripte kompromittiert wurden, lieferte jede Website, die sie lud, automatisch den bösartigen Code aus, ohne dass ein separater Einbruch bei den Website-Betreibern nötig war.

Die Angreifer verschafften sich zunächst Zugang, indem sie eine Schwachstelle in Brevos SAML-SSO-Handhabung ausnutzten und dabei 138 Kundenkonten kompromittierten — darunter eines des Hardware-Krypto-Wallet-Herstellers Trezor, der später meldete, dass rund 347.000 seiner Nutzer ins Visier genommen und über 2.500 Konten als Folge davon kompromittiert wurden. Ermittler datieren den Erstzugriff auf Ende August, doch die schädliche Phase begann am 14. September, als die Angreifer einen langlebigen Cloudflare-API-Schlüssel — direkt mit vollen Kontoberechtigungen im Anwendungsquellcode von Brevo fest codiert — nutzten, um einen bösartigen Cloudflare Worker bereitzustellen. Etwa fünfeinhalb Stunden lang schrieb dieser Worker Inhalte um, die von brevo.com, sibforms.com sowie den Formular-, Widget- und SDK-Skripten des Unternehmens am CDN-Rand ausgeliefert wurden, bevor Brevo ihn am nächsten Tag entdeckte und entfernte.

In diesem Zeitfenster wurden zwei Schadprogramme verbreitet. Website-Besucher sahen "ClickFix"-Seiten: gefälschte Cloudflare-Verifizierungsaufforderungen, die sie anwiesen, den Windows-Ausführen-Dialog zu öffnen und einen Befehl einzufügen — eine etablierte Social-Engineering-Technik, die bei Befolgung zur Ausführung von Malware führt. Separat erhielt jede WordPress-Website mit einem während des Angriffsfensters eingeloggten Administrator ein bösartiges Plugin namens "Web Media Optimizer", das sich aus der sichtbaren Plugin-Liste versteckte, sich dauerhaft über das Verzeichnis der must-use-Plugins von WordPress installierte und fest codierte Zugangsdaten enthielt, die den Angreifern Administratorzugriff ohne Passwort gewährten — eine Hintertür, die selbst nach der Bereinigung des ursprünglichen Injektionspunkts bestehen bleibt.

Brevo hat seitdem den kompromittierten API-Schlüssel widerrufen, die fest codierten Zugangsdaten aus seinem Quellcode entfernt, den bösartigen Worker und dessen Routing-Regeln gelöscht, CDN-Edge-Caches geleert und die vom Angreifer kontrollierten Domains blockiert, mit denen die Malware kommunizierte. Doch das WordPress-Hintertür-Plugin verschwindet nicht von selbst — jede Website, die während des fünfeinhalbstündigen Fensters einen eingeloggten Administrator hatte, muss unabhängig prüfen und das Plugin "Web Media Optimizer" entfernen, da Brevos Behebung der eigenen Infrastruktur nichts dazu beiträgt, eine bereits auf dem Server einer anderen Person platzierte Hintertür zu schließen.

Der Vorfall erinnert daran, wie konzentriert das Risiko in der kleinen Anzahl von Drittanbieter-Skripten geworden ist, die die meisten Websites ohne zweiten Gedanken laden. Ein einziger fest codierter API-Schlüssel im Quellcode eines Unternehmens verwandelte sich in ein fünfstündiges Zeitfenster, das mehr Websites erreichte als die meisten einzelnen Datenschutzverletzungen — und die Behebung ist erst abgeschlossen, wenn jeder betroffene Website-Betreiber unabhängig seine eigene WordPress-Installation prüft, nicht erst, wenn Brevos Dashboard meldet, der Vorfall sei gelöst.