Ataque à cadeia de suprimentos da Brevo injeta malware em mais de 100.000 sites de clientes

Um ataque à cadeia de suprimentos contra a plataforma de marketing Brevo injetou scripts maliciosos em mais de 100.000 sites de clientes em 14 de setembro, expondo visitantes a avisos falsos de CAPTCHA projetados para induzi-los a executar malware, além de instalar um plugin backdoor oculto em sites WordPress cujos administradores estavam com sessão ativa no momento.

A Brevo — anteriormente conhecida como Sendinblue — fornece formulários incorporáveis, widgets de chat e SDKs de e-mail que milhares de empresas carregam diretamente em seus próprios sites. Foi exatamente essa incorporação que transformou a violação de uma única empresa em uma superfície de ataque abrangendo centenas de milhares de sites não relacionados: quando os próprios scripts da Brevo foram comprometidos, todo site que os carregava servia automaticamente o código malicioso, sem necessidade de uma violação separada dos proprietários dos sites.

Os invasores obtiveram acesso inicial explorando uma vulnerabilidade no tratamento de SSO SAML da Brevo, comprometendo 138 contas de clientes — incluindo uma pertencente à fabricante de carteiras criptográficas de hardware Trezor, que depois relatou que aproximadamente 347.000 de seus usuários foram alvo e mais de 2.500 contas foram comprometidas como consequência indireta. Investigadores atribuem o acesso inicial ao final de agosto, mas a fase danosa começou em 14 de setembro, quando os invasores usaram uma chave de API do Cloudflare de longa duração — codificada diretamente no código-fonte do aplicativo da Brevo com permissões completas — para implantar um Worker malicioso do Cloudflare. Por aproximadamente cinco horas e meia, esse Worker reescreveu o conteúdo servido a partir de brevo.com, sibforms.com e os scripts de formulários, widgets e SDK da empresa na borda da CDN, antes que a Brevo o detectasse e removesse no dia seguinte.

Duas cargas maliciosas foram distribuídas durante essa janela. Visitantes dos sites viam páginas "ClickFix": avisos falsos de verificação do Cloudflare instruindo-os a abrir a caixa de diálogo Executar do Windows e colar um comando, uma técnica de engenharia social bem estabelecida que leva à execução de malware se seguida. Separadamente, qualquer site WordPress com um administrador conectado durante a janela do ataque recebeu um plugin malicioso chamado "Web Media Optimizer", que se escondia da lista de plugins visíveis, se instalava de forma persistente através do diretório de plugins obrigatórios do WordPress, e incluía credenciais codificadas concedendo aos invasores acesso de administrador sem senha — uma backdoor que sobrevive mesmo após a limpeza do ponto de injeção original.

A Brevo desde então revogou a chave de API comprometida, removeu as credenciais codificadas de seu código-fonte, excluiu o Worker malicioso e suas regras de roteamento, limpou os caches de borda da CDN e bloqueou os domínios controlados pelos invasores aos quais o malware se conectava. Mas o plugin backdoor do WordPress não desaparece sozinho — qualquer site que tivesse um administrador conectado durante a janela de cinco horas e meia precisa verificar e remover independentemente o plugin "Web Media Optimizer", já que a correção da Brevo em sua própria infraestrutura não faz nada para fechar uma backdoor já plantada no servidor de outra pessoa.

O incidente é um lembrete de quão concentrado o risco se tornou no pequeno número de scripts de terceiros que a maioria dos sites carrega sem pensar duas vezes. Uma única chave de API codificada no código-fonte de uma empresa se transformou em uma janela de cinco horas que atingiu mais sites do que a maioria das violações de dados individuais — e a correção só está completa quando cada proprietário de site afetado audita de forma independente sua própria instalação WordPress, não apenas quando o painel da Brevo indica que o incidente foi resolvido.