1. Op 14 september 2026, tussen 16:05:18 en 20:12:53 UTC, verspreidden aanvallers kwaadaardige JavaScript-code via diensten van Brevo. Deze code werd geïnjecteerd in veelgebruikte website-instrumenten en transformeerde deze tot kanalen voor de verspreiding van malware. De aanval trof op deze datum meer dan 100.000 klantwebsites. Dit was onderdeel van een breder tweede-traps evenement dat de gedeelde infrastructuur voor de verspreiding van code beïnvloedde.

2. De aanvallers gebruikten een aanval via de toeleveringsketen, waarbij Brevo kortstondig werd ingezet. De kwaadaardige code verscheen op Brevo-pagina's en in JavaScript dat werd gebruikt voor een website-tracker en een chatwidget. Sansec-onderzoekers identificeerden de tweeledige operatie na het traceren van aangepaste scripts binnen door Brevo beheerde diensten en klantintegraties. De beschikbare bewijzen suggereren dat de aanvallers mogelijk toegang hebben verkregen tot de Cloudflare-omgeving van Brevo, wat zowel DNS-wijzigingen als aangepaste antwoorden op gerelateerde domeinen mogelijk maakte. Dit is een beoordeling en niet een bevestigde hoofdoorzaak.

3. Het eerste deel van de aanval richtte zich op ingelogde WordPress-beheerders. Wanneer een bezoeker was ingelogd op WordPress, probeerde het script een plugin te installeren via de actieve sessie van die beheerder. Sansec kon de plugin niet herstellen, maar beoordeelde deze als waarschijnlijk een backdoor, wat een risico inhoudt dat overeenkomt met meldingen over vertrouwde WordPress-plugin backdoors die stille, blijvende toegang kunnen bieden.

4. Voor andere bezoekers gebruikte het script een volledig scherm ClickFix-dialoogvenster, dat zich voordeed als een menselijke verificatiestap. Dit neppe verificatievenster werd getoond aan personen die getroffen websites, chatfuncties, aanmeldformulieren of afmeldpagina's openden. ClickFix werkt door middel van overtuiging in plaats van een stille download; het nep-browsercontrole vraagt gebruikers om de laatste stap zelf uit te voeren. Dit patroon komt ook voor in recente ClickFix-malwarecampagnes die overtuigende prompts gebruiken om klembordactiviteit om te zetten in een initiële voet aan de grond op een apparaat.

5. Het script plaatste een commando op het klembord en instrueerde de gebruiker dit te plakken en uit te voeren. Dit werd gedaan om een bekende webinteractie om te zetten in de uitvoering van malware zonder gebruik te maken van een browserkwetsbaarheid. Personen die de verificatieprompt hebben gevolgd en het commando hebben uitgevoerd, wordt geadviseerd een volledige antivirusscan uit te voeren en verdacht apparaatgedrag te melden. Organisaties wordt geadviseerd personeel en klanten eraan te herinneren dat legitieme websites gebruikers niet vragen om een terminal, Uitvoeren-dialoogvenster of opdrachtprompt te openen om een beveiligingscontrole te doorstaan.

6. Gedurende en na het aanvalsvenster werden 2.549 meldingen van schendingen van het content-security-policy geregistreerd over 12 websites.

7. De kwaadaardige hosts stopten met oplossen op 15 september 2026. De getroffen code werd aan de oorsprong als schoon gemeld, maar gecachte kopieën en gecompromitteerde websites blijven een zorg.

8. Een aanval op een gehost actief kan websites treffen die nooit hun eigen accountgegevens hebben zien stelen.

9. Website-eigenaren die de getroffen tracker, chatwidget of gehost formulier gebruikten, worden geadviseerd om webserver-logs te controleren op WordPress upload- en activeringsverzoeken. Er wordt geadviseerd om plugins die op 14 september 2026 zijn geïnstalleerd of geactiveerd, te inspecteren en de bestanden op schijf te vergelijken met de beheerconsole, omdat een kwaadaardige plugin zich mogelijk verbergt voor de normale lijst.

10. Beveiligingsteams wordt geadviseerd relevante logs te bewaren voordat normale retentie deze verwijdert, bevoegde accounts opnieuw in te stellen waar gerechtvaardigd, en te zoeken naar onbekende bestanden of wijzigingen.

11. Het monitoren van externe JavaScript en het beperken van beheerderssessies kan de kans verkleinen dat een compromis bij een enkele leverancier leidt tot een bredere website-inbreuk. Externe scripts vereisen nauwkeurige monitoring, beperkte administratieve toegang en snelle integriteitscontroles na een incident bij een leverancier.