⚠️ ІНЦИДЕНТ З @Trezor I Brevo ВИЯВИВСЯ ЧАСТИНОЮ ЗНАЧНО БІЛЬШОГО ПРОБЛЕМУ. Декілька тижнів тому я писав про захоплення інфраструктури розсилки Brevo, яку використали для надсилання фішингу користувачам Trezor. Сьогодні ми знаємо, що з маркетингового списку Trezor було експортовано 347 149 адрес електронної пошти. Але на цьому проблеми Brevo не закінчилися. 14 вересня нападники використали захоплений API-ключ Cloudflare і запустили шкідливий Cloudflare Worker. Протягом приблизно 5,5 годин він дозволяв змінювати сторінки та JavaScript-скрипти, що надавалися через інфраструктуру Brevo. За даними Sansec, потенційний охоплення включало понад 100 тисяч веб-сайтів, які використовували компоненти Brevo. Обраним користувачам відображалася підроблена перевірка Cloudflare, яка закликала запустити команду в Windows, що призводила до встановлення шкідливого ПЗ. Для зареєстрованих адміністраторів WordPress також намагалися встановити шкідливий плагін. На даний момент немає підтверджень, що цей другий напад стосувався https://t.co/tatMoNAHpP, Trezor Suite або прошивки пристроїв Trezor. Сам Trezor продовжує повідомляти, що його системи, гаманці та пристрої залишилися безпечними. Вся історія показує одне важливе. Спочатку інфраструктура зовнішнього постачальника дозволила надіслати фішинг, що виглядав як справжнє повідомлення від Trezor. Кілька днів потому інфраструктура того ж постачальника була використана для доставки шкідливого коду через легітимні сайти та CDN. Правильний відправник повідомлення, HTTPS чи правильна домена більше не є гарантією того, що те, що ви бачите, безпечне. На дно я б дав наразі два джерела: офіційне повідомлення Trezor щодо частини, що стосується його користувачів, та аналіз Sansec щодо другого нападу. Це чітко розділяє те, що підтвердив Trezor, від того, що встановили дослідники безпеки. https://t.co/SwToyRL1V5 https://t.co/F6b5HWfpAn