API-Key geleakt: Plötzlich Malware über 100.000 Websites verbreitet
Die E-Mail-Marketing-Plattform Brevo (ehemals Sendinblue) war erst vor wenigen Tagen durch einen Sicherheitsvorfall in Verbindung mit Phishing-Mails aufgefallen. Nun kommt ein weiterer unangenehmer Vorfall hinzu: Angreifer haben Brevos Kunden Schadcode untergeschoben, durch den Besucher ihrer Webseiten zur Installation von Malware verleitet wurden. Laut Sansec(öffnet im neuen Fenster) sollen davon über 100.000 Webseiten betroffen sein.
Viele Unternehmen nutzen Brevo, um über die Plattform ihre E-Mail-Marketing-Kampagnen abzuwickeln. Der Anbieter hat laut eigener Website(öffnet im neuen Fenster) weltweit über 600.000 Kunden, darunter namhafte Unternehmen wie Ikea, Doctolib, Continental, Louis Vuitton, Nestle, Zeiss, VW, Bitbox, Trezor und Cointracking.
Einige Funktionen von Brevo sind von Javascript-Dateien abhängig, die Kunden auf ihrer eigenen Website einbetten. Dort konnten Angreifer aber durch einen kompromittierten Cloudflare-API-Key am 14. September Schadcode einschleusen, der anschließend für mehrere Stunden an Webseitenbesucher ausgeliefert wurde. Details dazu hat Brevo in einem Vorfallsbericht(öffnet im neuen Fenster) veröffentlicht.
Captcha mit Malware im Schlepptau
Betroffene Webseiten wurden bei dem Vorfall in eine Clickfix-Kampagne eingegliedert. Besuchern wurde also jeweils ein Fake-Captcha präsentiert(öffnet im neuen Fenster), für dessen Lösung sie auf ihrem Computer durch Drücken der Tastenkombinationen Win + R sowie Strg + V und die anschließende Bestätigung mit der Enter-Taste einen in die Zwischenablage kopierten Befehl ausführen sollten. Dies führte allerdings zum Download einer Malware.
Die Fake-Captchas sollen teilweise auch Nutzern angezeigt worden sein, die sich beispielsweise von einem über Brevo verschickten Newsletter abmelden wollten. Allerdings bekamen wohl nicht alle Besucher betroffener Webseiten die betrügerischen Captchas zu Gesicht. Das Skript der Angreifer soll sie nur ausgewählten Nutzern angezeigt haben.
Für angemeldete Wordpress-Admins hatten die Angreifer zudem noch eine weitere Überraschung. Nach Angaben der Sicherheitsforscher von Sansec wurde bei diesen automatisch im Hintergrund ein verdächtiges Wordpress-Plug-in installiert. Die Forscher konnten dieses Plug-in zwar nicht analysieren, sie gehen aber davon aus, dass die Angreifer sich damit eine Backdoor einrichten wollten.
API-Key im Quellcode gespeichert
Laut Brevo begann der Angriff am 14. September gegen 16:23 Uhr deutscher Zeit. Gegen 22:30 Uhr hat das Unternehmen den kompromittierten API-Schlüssel sowie damit erstellte Anmeldeinformationen widerrufen und den Angriff damit eingedämmt. Betroffene Kunden will Brevo im Anschluss über den Vorfall informiert haben. Webseitenbesucher, die den Befehl des Fake-Captchas ausgeführt haben, sollten ihre Systeme als kompromittiert betrachten und auf mögliche Malware-Infektionen untersuchen.
Brevo nennt in seiner Meldung mehrere Maßnahmen, die das Unternehmen in nächster Zeit umsetzen will, um vergleichbare Angriffe in Zukunft zu unterbinden. Dazu zählt auch die Verwaltung von API-Keys mit Hashicorp Vault. Der kompromittierte Schlüssel soll zuvor im Quellcode einer Anwendung hinterlegt gewesen sein, wo der Angreifer ihn wohl schon im August abgreifen konnte.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.