⚠️ INCYDENT Z @Trezor I Brevo Okazał się częścią znacznie większego problemu. Nieco wcześniej pisałem o przejęciu infrastruktury mailingowej Brevo, która została wykorzystana do wysłania phishingu do użytkowników Trezora. Dziś wiemy, że z listy marketingowej Trezora wyeksportowano 347 149 adresów e-mail. Ale problemy Brevo nie kończą się na tym. 14 września atakujący wykorzystali przejęty klucz API Cloudflare i uruchomili złośliwy Cloudflare Worker. Przez około 5,5 godziny pozwalał on na modyfikowanie stron i skryptów JavaScript dostarczanych przez infrastrukturę Brevo. Według Sansec potencjalny zasięg obejmował ponad 100 tys. stron internetowych korzystających z komponentów Brevo. Wybranym użytkownikom wyświetlano fałszywą weryfikację Cloudflare, która zachęcała do uruchomienia polecenia w Windows prowadzącego do instalacji malware. W przypadku zalogowanych administratorów WordPress podejmowano również próbę instalacji złośliwego pluginu. Obecnie nie ma potwierdzenia, że ten drugi atak objął https://t.co/tatMoNAHpP, Trezor Suite ani firmware urządzeń Trezora. Sam Trezor nadal informuje, że jego systemy, portfele i urządzenia pozostały bezpieczne. Cała historia pokazuje jednak coś istotnego. Najpierw infrastruktura zewnętrznego dostawcy pozwoliła wysłać phishing wyglądający jak prawdziwa wiadomość od Trezora. Kilka dni później infrastruktura tego samego dostawcy została wykorzystana do dostarczania złośliwego kodu przez legalne strony i CDN. Poprawny nadawca wiadomości, HTTPS czy poprawna domena nie są już same w sobie gwarancją, że to, co widzimy, jest bezpieczne. Na dole podam dwa źródła: oficjalny komunikat Trezora dla części dotyczącej jego użytkowników oraz analizę Sansec dla drugiego ataku. To jasno rozdziela to, co Trezor potwierdził, od tego, co ustalili badacze bezpieczeństwa. https://t.co/SwToyRL1V5 https://t.co/F6b5HWfpAn