A Brevo confirmou que invasores roubaram uma chave de API da Cloudflare e a usaram para injetar scripts maliciosos de ClickFix em seus sites e em arquivos JavaScript incorporados em páginas de clientes, com o objetivo de distribuir malware.
A empresa, que atua com gestão de relacionamento com clientes e marketing digital, informou que os atacantes usaram a chave de API para criar um Cloudflare Worker malicioso, responsável por alterar conteúdos na borda da CDN durante cerca de cinco horas e meia em 14 de setembro.
O ataque afetou páginas em brevo.com, sendinblue.com, login/account/my/onboarding.brevo.com e sibforms.com. O Worker também alterou o script de formulários da Brevo, o widget Brevo Conversations e os scripts de carregamento do SDK da Brevo, que os clientes incorporam em seus próprios sites.
Em um relatório pós-incidente publicado nesta terça-feira, a Brevo explicou que os invasores obtiveram uma chave de API da Cloudflare de longa duração, com permissões totais na conta, que havia sido hardcoded no código-fonte da aplicação. Isso permitiu a criação de Cloudflare Workers, rotas e registros DNS em todas as zonas da Brevo sem disparar alerta.
“Como o Worker reescreveu as respostas na borda e removeu cabeçalhos de segurança como o Content-Security-Policy, nossos servidores de origem e arquivos permaneceram inalterados e verificações padrão de integridade não detectaram a mudança”, explicou a Brevo.
A empresa afirma que a chave pode ter sido comprometida já no fim de agosto, mas não há evidências de atividade maliciosa anterior.
Ao detectar a invasão, a Brevo removeu o Worker e suas rotas, definindo a janela de exposição entre 16h07 e 20h30 UTC.
Nas horas seguintes, a empresa revogou a chave comprometida e as credenciais criadas com ela, removeu a credencial hardcoded do código-fonte, apagou hostnames controlados pelos invasores e limpou os caches da borda.
A Brevo afirma que o app.brevo.com, sua API, a infraestrutura de entrega de e-mails e os dados das contas de clientes não foram afetados.
O incidente foi divulgado inicialmente pela empresa de segurança Sansec, que estimou que até 100.000 sites que usam os componentes afetados da Brevo podem ter sido impactados.
A Sansec informou que o ataque começou em 14 de setembro de 2026, entre 16h05 e 20h13 UTC, e confirmou agora que todos os subdomínios maliciosos deixaram de resolver em 15 de setembro, além de afirmar que os arquivos da Brevo estão limpos.
Os visitantes desses sites eram direcionados a uma falsa página de verificação da Cloudflare e, em seguida, recebiam instruções de ClickFix incentivando a execução de um comando no Windows.
Em sites WordPress que incorporavam um widget da Brevo afetado, o script também verificava se o visitante estava autenticado como administrador e tentava fazer upload de um plugin malicioso a partir de [https://cdn10.sendibt1[.]com/p/wm.zip](https://cdn10.sendibt1[.]com/p/wm.zip).
O pacote malicioso foi identificado como um plugin de WordPress chamado “Web Media Optimizer”, mas, na prática, funciona como um backdoor persistente e carregador de JavaScript.
Outros domínios observados distribuindo o plugin e os scripts maliciosos de WordPress incluem [https://yelahaye[.]surf](https://yelahaye[.]surf) e [https://boiseno[.]club](https://boiseno[.]club).
Depois de instalado, o plugin se oculta da lista de plugins do WordPress, copia-se para o diretório de plugins obrigatórios para manter a persistência e entra em contato periodicamente com o servidor controlado pelos invasores em https://glegchner.com/ads.php.
Atualmente, esse endereço retorna uma URL codificada em Base64 que aponta para um JavaScript, posteriormente injetado pelo plugin nas páginas visitadas. A URL codificada em Base64 agora decodifica para [https://corralos[.]beer/a412dkoq.js](https://corralos[.]beer/a412dkoq.js), que o site injeta para carregar a isca de ClickFix exibida aos usuários.
O plugin também armazena uma cópia de backup da última URL válida do JavaScript, o que permite continuar carregando código malicioso caso o servidor remoto fique indisponível.
Por fim, o plugin contém uma chave de autenticação hardcoded que permite aos invasores gerar uma sessão de login válida para uma conta de administrador do WordPress sem conhecer a senha.
Em 10 de setembro, a Brevo revelou um incidente diferente, relacionado a SSO, no qual invasores sequestraram contas de clientes e lançaram ataques de phishing contra usuários de empresas que utilizam a plataforma.
Uma vítima de destaque foi a Trezor, fornecedora de carteiras de criptomoedas, que informou em 11 de setembro que os ataques de phishing atingiram 347.000 endereços de e-mail de usuários e comprometeram com sucesso pelo menos 2.500 deles.
A Brevo não informou se existe alguma ligação entre o incidente de SSO e o comprometimento da infraestrutura da Cloudflare.
Administradores de WordPress que tenham acessado um site afetado enquanto estavam logados em 14 de setembro devem verificar se foram instalados ou ativados plugins incomuns naquele dia e removê-los. Se forem encontrados, também devem trocar as senhas de administrador.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...