Une clé API Cloudflare compromise a permis à des attaquants de modifier plusieurs pages et scripts JavaScript de Brevo. Certains de ces scripts étant intégrés directement sur les sites de clients, l’attaque s’est propagée au-delà de l’infrastructure de l’entreprise. Pendant plusieurs heures, des visiteurs ont pu être redirigés vers de faux contrôles Cloudflare destinés à leur faire exécuter une commande malveillante.
Une clé Cloudflare aux droits étendus
L’incident remonte au 14 septembre. Dans son compte rendu, Brevo explique que les attaquants ont récupéré une clé API Cloudflare de longue durée disposant de permissions étendues. La clé était codée en dur dans le code source d’une application. Elle permettait notamment de créer des Cloudflare Workers, des routes et des enregistrements DNS sur plusieurs domaines de Brevo.
Les attaquants ont utilisé ces droits pour déployer un Worker capable de modifier les contenus servis par le CDN. Plusieurs pages de Brevo et de l’ancien domaine Sendinblue ont été touchées, ainsi que sibforms.com.
Les scripts Brevo ont propagé l’attaque chez des clients
Plusieurs fichiers JavaScript distribués par Brevo ont également été modifiés. Ils concernaient notamment les formulaires, Brevo Conversations et certains composants du SDK. Or ces fichiers sont chargés directement depuis les sites qui utilisent les services de Brevo. Du code injecté à ce niveau pouvait donc s’exécuter chez leurs visiteurs sans qu’une compromission propre du site soit nécessaire.
Selon Sansec, plus de 100 000 sites utilisant des composants Brevo ont potentiellement chargé un fichier affecté pendant l’incident. Il s’agit d’une estimation du cabinet, et non d’un chiffre communiqué par Brevo. Le script affichait notamment une fausse vérification Cloudflare. La victime était invitée à copier puis exécuter elle-même une commande sur sa machine, selon la technique ClickFix.
WordPress offrait une deuxième porte d’entrée
Le comportement changeait lorsqu’un administrateur WordPress était détecté. Le code tentait alors d’installer un plugin baptisé « Web Media Optimizer ». D’après l’analyse de BleepingComputer, celui-ci pouvait se masquer dans la liste des extensions, maintenir un accès au site et continuer à charger du JavaScript malveillant. Le plugin embarquait également un mécanisme permettant de générer une session administrateur valide sans disposer du mot de passe du compte.
Brevo indique que le Worker malveillant est resté actif environ cinq heures et demie. Les clés et identifiants concernés ont depuis été révoqués. Pour les sites WordPress touchés pendant cette période, la suppression du code chez Brevo ne suffit toutefois pas si le plugin malveillant a déjà été installé. Une vérification locale reste alors nécessaire.
