Pojedyncze włamanie do firmy zajmującej się technologią marketingową po raz kolejny pokazało, jak kruchy może być łańcuch dostaw sieci. Według doniesień PCMag, atakujący skompromitowali Brevo, dostawcę marketingu online, i wykorzystali ten dostęp do przeprowadzenia ataku malware w stylu ClickFix na licznych stronach internetowych w ciągu jednego dnia. Incydent ten jest wyraźnym przykładem tego, że atak malware ClickFix nie musi być wymierzony bezpośrednio w ofiary. Może przedostać się przez zaufaną usługę zewnętrzną.
Jak włamanie do Brevo otworzyło drzwi
Brevo dostarcza narzędzia marketingowe, które wiele firm osadza bezpośrednio na swoich stronach internetowych — takie jak formularze zapisu na newsletter, widgety czatu czy skrypty śledzące. Gdy tego typu dostawca zostaje skompromitowany, atakujący nie zyskują dostępu tylko do jednej witryny. Zdobywają przyczółek na każdej stronie internetowej, która zintegrowała kod tego dostawcy. W tym przypadku włamanie do Brevo stworzyło ścieżkę dla atakujących do wstrzyknięcia ataku w stylu ClickFix na szeroką gamę witryn jednocześnie, zamieniając pojedynczy punkt awarii w masowy kanał dystrybucji malware.
To właśnie czyni włamania po stronie dostawców tak niebezpiecznymi z punktu widzenia prywatności i bezpieczeństwa. Właściciele stron często mają niewielką widoczność zmian wprowadzanych po stronie dostawcy, a odwiedzający nie mają sposobu, by wiedzieć, że skrypt działający w tle znanej strony internetowej nagle stał się złośliwy.
Co faktycznie robią ataki ClickFix
ClickFix to technika inżynierii społecznej, która staje się coraz bardziej powszechna. Zamiast wykorzystywać lukę techniczną w przeglądarce lub systemie operacyjnym, opiera się na oszukaniu osoby siedzącej przy klawiaturze. Zazwyczaj na stronie internetowej pojawia się fałszywy monit, często przebrany za weryfikację CAPTCHA, komunikat o błędzie lub krok niezbędny do naprawienia rzekomego problemu ze stroną. Monit instruuje odwiedzającego, aby skopiował fragment tekstu i wkleił go do okna wiersza poleceń lub okna uruchamiania na swoim komputerze.
Ten wklejony tekst to w rzeczywistości złośliwe polecenie. Po wykonaniu może zainstalować malware, mimo że użytkownik nigdy nie pobrał pliku w tradycyjnym sensie ani nie kliknął oczywistego linku. Ponieważ atak opiera się na działaniu użytkownika, a nie na luce w oprogramowaniu, może ominąć wiele zabezpieczeń technicznych zaprojektowanych do wychwytywania konwencjonalnych metod dostarczania malware. To częściowo dlatego ClickFix stał się preferowaną taktyką atakujących chcących szybko skompromitować dużą liczbę urządzeń.
Rosnący wzorzec kompromitacji łańcucha dostaw
Incydent z Brevo wpisuje się w szerszy wzorzec, w którym atakujący celują w narzędzia i platformy, od których zależą inne firmy, zamiast atakować bezpośrednio użytkowników końcowych czy nawet pojedyncze przedsiębiorstwa. To podobna dynamika do tej, która miała miejsce, gdy ShinyHunters ogłosili włamanie do Metabase, platformy analityki biznesowej używanej przez ponad 100 000 organizacji, narażając ogromną liczbę użytkowników końcowych na potencjalne ryzyko w wyniku pojedynczego włamania. Odzwierciedla to również obawy wyrażane wokół niezałatanych luk w powszechnie używanych platformach takich jak GeoServer, gdzie jedna niezałatana wada we wspólnej infrastrukturze może zostać wykorzystana w wielu organizacjach jednocześnie.
Te incydenty łączy wspólny wątek: im bardziej wzajemnie połączona staje się sieć, z firmami polegającymi na skryptach, wtyczkach i platformach zewnętrznych, tym bardziej pojedynczy skompromitowany dostawca może rozprzestrzenić się na zewnątrz w postaci szeroko zakrojonego ataku.
Co to oznacza dla Ciebie
Dla przeciętnych użytkowników internetu wniosek z tego ataku malware ClickFix nie polega na tym, że jakakolwiek konkretna strona internetowa jest niewiarygodna. Chodzi o to, że nawet legalne, znane strony internetowe mogą zostać tymczasowo uzbrojone bez własnej winy, po prostu dlatego, że dostawca, na którym polegają, został skompromitowany. Prawdziwa obrona sprowadza się tutaj do rozpoznania samego wzorca ClickFix. Żadna legalna strona internetowa nigdy nie poprosi Cię o otwarcie wiersza poleceń lub okna uruchamiania i wklejenie tekstu, aby „zweryfikować", że jesteś człowiekiem, lub „naprawić" problem z wyświetlaniem. Ta instrukcja, gdziekolwiek się pojawi, powinna być za każdym razem traktowana jako sygnał ostrzegawczy.
Praktyczne wnioski
Jeśli natkniesz się na monit z prośbą o skopiowanie i wklejenie polecenia do swojego komputera, natychmiast zamknij stronę, zamiast postępować zgodnie z instrukcjami. Utrzymuj swój system operacyjny i przeglądarkę w aktualnej wersji, ponieważ poprawki mogą czasami zmniejszyć wpływ skryptów, którym uda się przedostać. Rozważ korzystanie z rozszerzeń przeglądarki lub narzędzi bezpieczeństwa, które oznaczają podejrzane zachowanie skryptów na odwiedzanych stronach internetowych. A jeśli prowadzisz stronę internetową, która polega na zewnętrznych narzędziach marketingowych lub analitycznych, uważnie monitoruj te integracje i bądź przygotowany do szybkiego ich odłączenia, jeśli dostawca ujawni włamanie. Incydenty takie jak włamanie do Brevo przypominają, że czujność nie powinna kończyć się na własnych drzwiach. Musi obejmować każdego dostawcę i każdy skrypt, który ma styczność ze stronami, których używasz codziennie.
