In einer Aufarbeitung schildert Brevo, wie der Angriff möglich wurde: Die Täter gelangten an einen langlebigen Cloudflare-API-Schlüssel mit vollen Kontoberechtigungen, der fest im Quellcode einer Anwendung hinterlegt war. Damit ließen sich Cloudflare Workers, Routen und DNS-Einträge über Brevos Zonen hinweg anlegen, ohne dass ein Alarm ausgelöst wurde.
“Weil der Worker Antworten an der Kante umschrieb und Sicherheits-Header wie Content-Security-Policy entfernte, blieben unsere Ursprungsserver und Dateien unverändert, und übliche Integritätsprüfungen schlugen nicht an”, erklärt Brevo. Der Schlüssel könnte bereits Ende August kompromittiert worden sein; Hinweise auf frühere schädliche Aktivitäten gibt es dem Unternehmen zufolge nicht.
Nach der Entdeckung entfernte Brevo den Worker samt Routen und beziffert das Zeitfenster der Exposition auf 16:07 bis 20:30 UTC. In den Stunden danach widerrief das Unternehmen den kompromittierten Schlüssel und die damit erzeugten Zugangsdaten, entfernte das fest codierte Geheimnis aus dem Quellcode, löschte von den Angreifern kontrollierte Hostnamen und leerte die Edge-Caches.
Sansec datiert den Beginn auf den 14. September 2026 zwischen 16:05 und 20:13 UTC und hat inzwischen bestätigt, dass alle bösartigen Subdomains seit dem 15. September nicht mehr aufgelöst werden und die Brevo-Dateien wieder sauber sind.
Auf WordPress-Installationen zielte der Angriff gezielt auf angemeldete Administratoren: Das Skript versuchte, ein Plugin von https://cdn10.sendibt1[.]com/p/wm.zip nachzuladen. Sansec konnte das Archiv nicht beschaffen, BleepingComputer fand es jedoch bei VirusTotal und bestätigt, dass es sich als WordPress-Plugin namens “Web Media Optimizer” ausgibt, tatsächlich aber als persistente Hintertür und JavaScript-Lader arbeitet. Weitere Domains, über die das Plugin und die Skripte verteilt wurden, sind laut BleepingComputer https://yelahaye[.]surf und https://boiseno[.]club.
Nach der Installation blendet sich das Plugin aus der Plugin-Liste aus, kopiert sich zur Persistenz in das Verzeichnis der Must-Use-Plugins und kontaktiert regelmäßig den Server ‘https://glegchner.com/ads.php'. Dieser liefert derzeit eine Base64-kodierte Adresse zurück, die auf JavaScript verweist, das in die Seiten der Besucher eingefügt wird; aktuell decodiert sie zu https://corralos[.]beer/a412dkoq.js, das eine ClickFix-Lockseite nachlädt. Die zuletzt gültige JavaScript-Adresse speichert das Plugin zusätzlich als Reserve, um bei Ausfall des Servers weiter Schadcode laden zu können. Zudem enthält es einen fest codierten Authentifizierungsschlüssel, mit dem sich eine gültige Anmeldesitzung für ein WordPress-Administratorkonto erzeugen lässt, ohne das Passwort zu kennen.
Bereits am 10. September hatte Brevo einen anderen, SSO-bezogenen Vorfall offengelegt: Dort übernahmen Angreifer Kundenkonten und starteten Phishing-Angriffe gegen die Kunden von Brevo-Nutzern. Prominentes Opfer war der Hersteller von Kryptowährungs-Wallets Trezor, der am 11. September meldete, dass die Phishing-Angriffe 347.000 Nutzer-E-Mail-Adressen erreichten und mindestens 2.500 erfolgreich kompromittiert wurden. Auf die Frage von BleepingComputer, ob der SSO-Vorfall und die Cloudflare-Kompromittierung zusammenhängen, antwortete Brevo nicht.
WordPress-Administratoren, die am 14. September angemeldet eine betroffene Seite besucht haben, sollten prüfen, ob an diesem Tag ungewöhnliche Plugins installiert oder aktiviert wurden, diese entfernen und in dem Fall die Administratorpasswörter wechseln.