Украденный ключ Cloudflare заразил 100 тысяч сайтов через Brevo

Хакеры украли API-ключ маркетинговой платформы Brevo и использовали его для создания вредоносного Cloudflare Worker, который заразил около 100 тысяч сайтов. Ключ хранился в открытом виде в исходниках с полными правами на изменение DNS и запуск скриптов. Атака длилась 5,5 часа 14 сентября: вредонос подменял содержимое по дороге к пользователю, добавляя код и удаляя защитные заголовки, при этом исходники оставались чистыми.

Посетителям показывали фейковую проверку Cloudflare, которая побуждала скачать вредонос, а администраторам WordPress скрипт пытался установить скрытый плагин Web Media Optimizer для получения доступа без пароля. Brevo удалила Worker и отозвала ключ, но уже установленные бэкдоры остались на месте.