Die E-Mail-Marketing-Plattform Brevo, früher Sendinblue, war erst vor wenigen Tagen wegen eines Sicherheitsvorfalls im Zusammenhang mit Phishing-Mails aufgefallen. Nun kommt ein weiterer Vorfall hinzu: Angreifer haben Kunden von Brevo Schadcode untergeschoben, durch den Besucherinnen und Besucher ihrer Webseiten zur Installation von Malware verleitet wurden. Nach Angaben der Sicherheitsforscher von Sansec sind mehr als 100.000 Webseiten betroffen.
Viele Unternehmen nutzen Brevo für ihre E-Mail-Marketing-Kampagnen, der Anbieter zählt eigenen Angaben zufolge weltweit über 600.000 Kunden, darunter Ikea, Doctolib, Continental, Louis Vuitton, Nestle, Zeiss, VW, Bitbox, Trezor und Cointracking. Einige Funktionen von Brevo hängen von Javascript-Dateien ab, die Kundinnen und Kunden auf der eigenen Website einbetten. Über einen kompromittierten Cloudflare-API-Schlüssel konnten Angreifer am 14. September genau dort Schadcode einschleusen, der anschließend mehrere Stunden lang an Webseitenbesucher ausgeliefert wurde.
Fake-Captcha schleust Befehl über die Zwischenablage ein
Die betroffenen Webseiten wurden dabei in eine sogenannte Clickfix-Kampagne eingebunden. Besucherinnen und Besuchern wurde ein gefälschtes Captcha präsentiert, für dessen vermeintliche Lösung sie mit der Tastenkombination Win + R sowie Strg + V und der Bestätigung mit Enter einen zuvor in die Zwischenablage kopierten Befehl ausführen sollten, was zum Download einer Malware führte. Die betrügerischen Captchas erschienen teils auch beim Versuch, sich von einem über Brevo verschickten Newsletter abzumelden, allerdings nicht bei allen Besucherinnen und Besuchern der betroffenen Seiten, das Skript der Angreifer zeigte sie offenbar nur ausgewählten Nutzern. Angemeldeten Wordpress-Admins spielten die Angreifer zusätzlich automatisch ein verdächtiges Plug-in im Hintergrund unter, das Sansec zwar nicht analysieren konnte, hinter dem die Forscher aber eine Backdoor vermuten.
API-Schlüssel lag offenbar seit August im Quellcode
Laut Brevo begann der Angriff am 14. September gegen 16:23 Uhr deutscher Zeit, gegen 22:30 Uhr widerrief das Unternehmen den kompromittierten API-Schlüssel samt der damit erstellten Zugangsdaten und dämmte den Angriff so ein. Betroffene Kunden will Brevo im Anschluss informiert haben, wer den Befehl des Fake-Captchas ausgeführt hat, sollte das eigene System als kompromittiert betrachten und auf mögliche Malware-Infektionen untersuchen. Der abgegriffene Schlüssel war offenbar im Quellcode einer Anwendung hinterlegt, wo ihn ein Angreifer laut Brevo bereits im August erbeuten konnte. Als Konsequenz kündigt das Unternehmen mehrere Maßnahmen an, um vergleichbare Angriffe künftig zu verhindern, darunter die Verwaltung von API-Schlüsseln über Hashicorp Vault.