پلتفرم تعامل با مشتری Brevo هدف یک حمله زنجیره تأمین (Supply Chain Attack) قرار گرفت که منجر به تزریق کدهای مخرب در بیش از ۱۰۰,۰۰۰ وب‌سایت شد. این حادثه در چندین مرحله رخ داده و از نقاط ضعف مختلف در احراز هویت و مدیریت کلیدهای دسترسی بهره برده است.
جزئیات فنی نفوذ و اکسپلویت
حمله در ابتدا در تاریخ ۱۰ سپتامبر آغاز شد؛ جایی که مهاجمان از یک آسیب‌پذیری در نحوه مدیریت SAML SSO در Brevo برای دسترسی به ۱۳۸ حساب کاربری استفاده کردند. در این مرحله، مهاجمان موفق شدند از طریق ایمیل‌های فیشینگ (Phishing) و استخراج لیست مخاطبان ۴۳ حساب کاربری، عملیات خود را پیش ببرند.
با وجود بسته شدن دسترسی‌های غیرمجاز توسط تیم امنیتی، مهاجمان در ۱۴ سپتامبر مجدداً بازگشتند. این بار آن‌ها از یک کلید Cloudflare API طولانی‌مدت (Long-lived) که لو رفته بود، برای استقرار یک Worker مخرب استفاده کردند.
مکانیسم تزریق و تکنیک ClickFix
این Worker مخرب توانست اسکریپت‌های بدافزار را در دامنه brevo.com و sibforms.com و همچنین در سه فایل JavaScript که مشتریان Brevo در وب‌سایت‌های خود جاسازی (Embed) کرده بودند، تزریق کند. این اسکریپت‌ها از تکنیکی به نام ClickFix استفاده می‌کردند؛ به این صورت که بازدیدکنندگان را به یک صفحه جعلی «تأیید انسانی Cloudflare» هدایت کرده و از آن‌ها می‌خواستند دستوراتی را در سیستم خود کپی و اجرا کنند.
- هدف‌گیری وردپرس: در وب‌سایت‌های مبتنی بر WordPress که ویجت Brevo داشتند، اگر بازدیدکننده با دسترسی Administrator وارد شده بود، اسکریپت تلاش می‌کرد یک پلاگین مخرب را نصب و اجرا کند.
- مدت زمان فعالیت: این Worker مخرب حدود ۵.۵ ساعت فعال بود تا زمانی که Brevo آن را حذف و کلید API مربوطه را ابطال کرد.
تأثیرات و توصیه‌های امنیتی
بر اساس تحلیل‌های شرکت Sansec، بدافزار به مدت چهار ساعت توزیع شده و احتمالاً بیش از ۱۰۰ هزار وب‌سایت تحت تأثیر قرار گرفته‌اند. توصیه می‌شود مدیران سیستم‌های مورد استفاده از Brevo موارد زیر را بررسی کنند:
- بررسی دقیق وب‌سایت‌ها برای شناسایی هرگونه نصب غیرمجاز پلاگین (Unauthorized Plugin).
- بررسی سیستم‌های کاربرانی که احتمالاً با صفحات جعلی تأیید هویت مواجه شده‌اند.
- بازبینی احتمالی وجود Backdoor در سایت‌های وردپرسی.
