一条被信任的脚本，如何在五小时内变成攻击面

原创

鹊桥osint
鹊桥osint

鹊桥osint

2026年9月20日 12:00
海南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一条被信任的脚本，如何在五小时内变成攻击面

Brevo供应链攻击与ClickFix投递链路分析

数据截止：2026年9月20日｜公开来源交叉核验

本文只讨论公开披露的技术事实。10万+是潜在暴露网站估计，不等于感染数量；攻击者身份、最终Windows载荷及9月10日SSO事件与本次攻击的关联，均未被公开证实。

一、事件概览

2026年9月14日，Brevo的CDN/边缘交付链路被利用。恶意代码通过Brevo官方页面、表单、对话组件以及客户网站嵌入的SDK扩散。Sansec公开测量发现，潜在受影响网站超过10万家；恶意服务端代码至少持续5小时07分35秒（UTC 16:05:18—20:12:53）。

攻击链可以拆成五步：获取高权限、长期有效的Cloudflare API密钥；部署Worker、DNS和路由改写；通过Brevo组件传播；向普通访客投放ClickFix假验证；对已登录WordPress管理员尝试上传伪装插件。

判断：这起事件的最大风险不在Brevo自身站点，而在客户已经把Brevo代码当作可信依赖。源站文件没有变化，也不代表浏览器收到的响应是干净的。

二、关键数据

图1｜Brevo供应链攻击关键时间线

图2｜公开披露中的规模与观测信号

三、攻击链复原

1. 高权限凭据失守

Brevo事后说明，攻击者获得了一个长期有效、全账户权限的Cloudflare API密钥，并且该密钥被硬编码在应用源代码中。该权限足以创建Worker、路由和DNS记录，且当时没有触发对应告警。

2. 边缘响应被改写

Sansec观察到被篡改资源的Last-Modified时间在事件前、事件中和事件后保持一致，更符合边缘响应改写，而不是源站文件被直接改写。攻击者疑似利用Worker在响应经过CDN时追加恶意脚本，并移除或削弱CSP等安全响应头。

3. 可信组件变成传播器

受影响资源包括Brevo SDK Loader、Conversations组件、表单、托管页面和退订页面。客户网站本身不需要被入侵，只要加载了受影响的Brevo组件，访问者就可能收到恶意脚本。

4. 两条投递路径

普通访客：看到全屏“验证你是人类”页面，被诱导复制并执行系统命令。

WordPress管理员：恶意脚本检测登录状态，尝试向/wp-admin/update.php?action=upload-plugin上传wm.zip。公开分析显示，伪装成“Web Media Optimizer”的插件能够隐藏、复制到mu-plugins目录持久化、远程加载JavaScript，并包含生成管理员有效会话的硬编码认证机制。

图3｜从凭据失守到跨站投递的攻击链

四、IOC与检测重点

注意：sendibt1.com顶级域本身是Brevo合法邮件跟踪域，不应整体封禁。应按恶意子域、路径、时间窗和请求特征精确检测。

五、企业排查清单

1. 查询9月14日16:05—20:13 UTC的Web访问日志。
2. 重点检查POST /wp-admin/update.php?action=upload-plugin及随后插件激活请求。
3. 检查“Web Media Optimizer”等未知插件，并比对wp-content/plugins/与后台列表。
4. 检查wp-content/mu-plugins/中的新增文件。
5. 轮换WordPress管理员密码、应用密钥、API令牌和会话。
6. 对执行过ClickFix命令的终端进行隔离和进程、计划任务、浏览器扩展排查。
7. 监测Cloudflare Worker创建、路由变化、DNS变更、CSP违规和边缘响应哈希。

六、溯源结论

公开证据支持“供应链攻击/犯罪获利型Web投递行动”的定性，不支持对具体APT、国家或黑客组织进行归属。当前仍无法确认API密钥的最初泄露方式、最终Windows载荷，以及9月10日SSO事件与本次事件是否由同一团伙实施。

来源

Sansec：
https://sansec.io/research/brevo-supply-chain-attack

Brevo官方事件说明：
https://status.brevo.com/incidents/pawbvhq8/write-up

BleepingComputer：
https://www.bleepingcomputer.com/news/security/brevo-supply-chain-attack-injected-clickfix-scripts-on-customer-sites/