Une attaque de la chaîne d'approvisionnement de Brevo injecte des malwares dans plus de 100 000 sites clients

Une attaque de la chaîne d'approvisionnement visant la plateforme marketing Brevo a injecté des scripts malveillants dans plus de 100 000 sites web clients le 14 septembre, exposant les visiteurs à de faux avertissements CAPTCHA conçus pour les inciter à exécuter des malwares, et installant un plugin de porte dérobée caché sur les sites WordPress dont les administrateurs étaient connectés à ce moment-là.

Brevo — anciennement connue sous le nom de Sendinblue — fournit des formulaires intégrables, des widgets de chat et des SDK d'e-mail que des milliers d'entreprises chargent directement sur leurs propres sites. C'est précisément cette intégration qui a transformé la compromission d'une seule entreprise en une surface d'attaque couvrant des centaines de milliers de sites non liés : lorsque les scripts de Brevo eux-mêmes ont été compromis, chaque site les chargeant a automatiquement servi le code malveillant, sans qu'une compromission distincte du propriétaire du site soit nécessaire.

Les attaquants ont d'abord obtenu l'accès en exploitant une vulnérabilité dans la gestion du SSO SAML de Brevo, compromettant 138 comptes clients — dont un appartenant au fabricant de portefeuilles cryptographiques matériels Trezor, qui a ensuite signalé qu'environ 347 000 de ses utilisateurs avaient été ciblés et que plus de 2 500 comptes avaient été compromis en conséquence. Les enquêteurs situent l'accès initial fin août, mais la phase dommageable a commencé le 14 septembre, lorsque les attaquants ont utilisé une clé API Cloudflare de longue durée — codée en dur directement dans le code source de l'application Brevo avec des permissions complètes — pour déployer un Worker Cloudflare malveillant. Pendant environ cinq heures et demie, ce Worker a réécrit le contenu servi depuis brevo.com, sibforms.com et les scripts de formulaires, widgets et SDK de l'entreprise en périphérie du CDN, avant que Brevo ne le détecte et le supprime le lendemain.

Deux charges utiles ont été diffusées durant cette fenêtre. Les visiteurs des sites voyaient des pages "ClickFix" : de fausses invites de vérification Cloudflare leur demandant d'ouvrir la boîte de dialogue Exécuter de Windows et d'y coller une commande, une technique d'ingénierie sociale bien établie qui conduit à l'exécution de malware si elle est suivie. Séparément, tout site WordPress dont un administrateur était connecté durant la fenêtre d'attaque a reçu un plugin malveillant nommé "Web Media Optimizer", qui se cachait de la liste des plugins visibles, s'installait de manière persistante via le répertoire des plugins obligatoires de WordPress, et incluait des identifiants codés en dur accordant aux attaquants un accès administrateur sans mot de passe — une porte dérobée qui survit même après le nettoyage du point d'injection initial.

Brevo a depuis révoqué la clé API compromise, supprimé les identifiants codés en dur de son code source, supprimé le Worker malveillant et ses règles de routage, purgé les caches en périphérie du CDN et bloqué les domaines contrôlés par les attaquants vers lesquels le malware communiquait. Mais le plugin de porte dérobée WordPress ne disparaît pas de lui-même — tout site ayant eu un administrateur connecté durant la fenêtre de cinq heures et demie doit vérifier et supprimer indépendamment le plugin "Web Media Optimizer", car la correction par Brevo de sa propre infrastructure ne fait rien pour fermer une porte dérobée déjà installée sur le serveur de quelqu'un d'autre.

Cet incident rappelle à quel point le risque s'est concentré dans le petit nombre de scripts tiers que la plupart des sites web chargent sans y penser à deux fois. Une seule clé API codée en dur dans le code source d'une entreprise s'est transformée en une fenêtre de cinq heures ayant touché plus de sites que la plupart des violations de données individuelles — et la correction n'est complète que lorsque chaque propriétaire de site affecté audite indépendamment sa propre installation WordPress, pas seulement quand le tableau de bord de Brevo indique que l'incident est résolu.