Supply-Chain-Angriff auf Brevo: Manipulation via Cloudflare Worker, ClickFix-Malware und WordPress-Backdoor

Im September 2026 wurde die Marketing-Plattform Brevo Ziel eines komplexen Supply-Chain-Angriffs. Kriminelle nutzten einen gestohlenen Cloudflare-API-Schlüssel, um einen bösartigen Cloudflare-Worker zu betreiben, der über das CDN den HTTP-Verkehr manipulierte. Durch das Entfernen von Content-Security-Policy-Headern (CSP) und das Einschleusen von ClickFix-JavaScript gelang es den Angreifern, Zehntausende von Webseiten mit Malware zu versorgen und bei eingeloggten WordPress-Administratoren eine persistente Plugin-Backdoor zu installieren.

Technischer Angriffsvektor: Manipulation via Cloudflare Worker und Aushebelung von CSP

Die Angreifer erstellten über den kompromittierten Cloudflare-API-Schlüssel einen eigenen Worker, der an den Edge-Knoten des CDN aktiv wurde. Der Worker änderte die HTTP-Antworten, indem er bösartigen JavaScript-Code einfügte und gleichzeitig vorhandene Sicherheits-Header wie CSP entfernte. Da die eigentlichen Quellcode-Repositories und Server von Brevo unverändert blieben, scheiterten herkömmliche Dateiintegritätsprüfungen.

Funktionsweise des manipulierten Workers

• Gestohlener Cloudflare-API-Schlüssel ermöglichte das Anlegen eines eigenen Workers.
• Der Worker griff in den Datenverkehr an den CDN-Edge ein (16:07 - 20:30 UTC, ca. 4,5 - 5,5 Stunden).
• Er ersetzte reguläre JavaScript-Dateien von Brevo (brevo.com, sibforms.com) durch das schädliche ClickFix-Skript.
• Gleichzeitig wurden CSP-Header aus den Antworten entfernt, sodass Browser-Sicherheitsmechanismen wirkungslos wurden.

Umfang und betroffene Infrastruktur

Der Angriff betraf eine erhebliche Anzahl von Webseiten, die Brevo-Skripte einbinden. Öffentliche Scans identifizierten rund 117.000 betroffene Domains, darunter namhafte Kunden wie eBay, Louis Vuitton, Michelin und Amnesty International. Der schädliche Worker war etwa 4,5 bis 5,5 Stunden aktiv, bevor er entdeckt wurde.

Im Vorfeld hatte Brevo bereits einen SAML-SSO-Fehler (10. September 2026) gemeldet, bei dem 138 Kundenkonten kompromittiert wurden. Aus sechs dieser Konten wurden Phishing-Mails an etwa 347.000 Trezor-Nutzer versendet.

• Expositionsdauer des bösartigen Workers: 4,5 - 5,5 Stunden (Quelle S1)
• Betroffene Websites mit Brevo-Einbindung: 117.000 (Quelle S2)
• Kompromittierte Konten durch SSO-Lücke: 138 (Quelle S3)
• Phishing-Mails an Trezor-Nutzer: ca. 347.000 (Quelle S1)

WordPress-Backdoor: Das Schad-Plugin "Web Media Optimizer"

Für eingeloggte WordPress-Administratoren stellte das manipulierte Skript ein weiteres Risiko dar. Sobald das Skript eine aktive Admin-Session erkannte, lud es ein gefälschtes Archiv wm.zip (getarnt als Plugin "Web Media Optimizer") von externen Servern herunter und installierte es im Hintergrund. Das Plugin enthielt einen hartkodierten Authentifizierungsschlüssel, der Angreifern einen vollwertigen Administrator-Zugang ermöglichte, ohne das eigentliche Passwort zu kennen.

• Tarnbezeichnung des injizierten Plugins: Web Media Optimizer
• Archivname: wm.zip
• Funktion: Erzeugt gültige Admin-Sessions über einen fest einprogrammierten Auth-Key

WordPress-Betreiber sollten daher gezielt nach diesem Plugin-Namen und dem Archiv suchen, um die Hintertür zu entdecken.

Risiken und Grenzen klassischer Schutzmechanismen

Der Vorfall verdeutlicht zwei zentrale Schwachstellen bestehender Sicherheitsstrategien:

• Fehlendes Risikobewusstsein: Das bloße Entfernen des CDN-Skripts reicht bei bereits infizierten WordPress-Instanzen nicht aus. Die hinterlegte Backdoor bleibt aktiv, solange das schädliche Plugin und zugehörige Session-Tokens nicht manuell entfernt werden.
• Grenzen von CSP und Integritäts-Hashes: Sobald Angreifer Zugriff auf Edge-Worker erhalten, können sie Antwort-Header dynamisch manipulieren oder entfernen. Dadurch werden CSP-Richtlinien und Subresource-Integrity-Prüfungen wirkungslos.

Empfohlene Sofortmaßnahmen für Betreiber

Um die Auswirkungen zu begrenzen, sollten betroffene Webseitenbetreiber unverzüglich folgende Schritte durchführen:

• Plugin-Verzeichnis nach unbekannten Erweiterungen durchsuchen - insbesondere nach Web Media Optimizer bzw. wm.zip.
• Alle Administrator-Passwörter neu setzen und die WordPress-Salts in der wp-config.php aktualisieren.
• Aktive Sessions beenden und ggf. API-Schlüssel neu generieren.
• Auf den betroffenen Rechnern einen vollständigen Virenscan durchführen und verdächtige Prozesse stoppen.
• Falls ein Brevo-Konto genutzt wird, die Integration prüfen und ggf. den Cloudflare-Worker entfernen lassen.

FAQ zum Vorfall

Wie funktionierte die Skript-Injektion auf technischer Ebene genau?Die Angreifer erstellten über einen gestohlenen API-Schlüssel einen Cloudflare-Worker, der HTTP-Anfragen an den CDN-Knoten manipulierte. Dabei wurden die ursprünglichen Server von Brevo nicht verändert, während bösartiger JavaScript-Code an Besucher ausgeliefert und Sicherheits-Header unterdrückt wurden.Wie heißt das WordPress-Plugin, das als Hintertür installiert wurde?Das Schad-Plugin trägt den Namen Web Media Optimizer und wird als Archiv wm.zip verteilt.Welche Schritte sollten WordPress-Webmaster jetzt sofort unternehmen?Webmaster müssen ihre Plugin-Liste nach unbekannten Erweiterungen wie Web Media Optimizer durchsuchen, sämtliche Administrator-Passwörter sowie WordPress-Sicherheitsschlüssel neu generieren und aktive Sessions beenden.

Fazit

Der Brevo-Supply-Chain-Angriff demonstriert eindrucksvoll, wie Angreifer moderne CDN-Edge-Technologien ausnutzen können, um Sicherheits-Header zu entfernen und Schadcode unbemerkt auszuliefern. Klassische Prüfungen auf Origin-Servern reichen dabei nicht aus, und selbst nach einer Bereinigung von Brevo-Skripten können persistente WordPress-Backdoors bestehen bleiben. Betreiber sollten ihre Infrastruktur umfassend prüfen, insbesondere die genannten Plugin-Indikatoren, und alle Zugangsdaten sowie API-Schlüssel erneuern, um weitere Kompromittierungen zu verhindern.