Tekniske detaljer om det ondsindede JavaScript

Den injicerede kode fungerede som en trinvist loader med flere lag af omgåelse og målretning . I stedet for straks at droppe malware udførte den først miljøtjek for at undgå opdagelse og sikre, at offeret var et egnet mål:

• localStorage-sporing — Ved første besøg satte scriptet et tidsstempel i browserens localStorage. Dette forhindrede gentagen udførelse for den samme bruger, hvilket reducerede støj og sænkede chancen for at udløse sikkerhedsalarmer under rutinetest .
• User-Agent-filtrering (mobil-ekskludering) — Scriptet tjekkede besøgendes User-Agent-streng for at ignorere mobile browsere og kun målrette desktop-miljøer. Senere infektionsstadier var afhængige af Windows-specifikke interaktioner, så mobile ofre blev helt omgået .
• XOR-obfuskering — Loaderen rekonstruerede dynamisk sin næste-trins command-and-control (C2) URL ved at afkode XOR-obfuskerede strengfragmenter under kørsel og omgik derved basal signaturbaseret detektion .
• Dynamisk script-injektion — Efter at have rekonstrueret den skjulte C2-URL injicerede koden et nyt <script>-element på siden for at hente efterfølgende nyttelast .
• Falsk CAPTCHA / ClickFix social engineering — Ofre, der bestod alle tjek, blev præsenteret for en falsk "bekræft at du er et menneske"-side i ClickFix-stil. Prompten instruerede brugerne i at åbne Windows' Kør-dialog og indsætte en kommando, der stille og roligt var blevet kopieret til deres udklipsholder .

ClickFix-social engineering-lokkemaden

ClickFix er en social engineering-teknik, hvor et ondsindet script kopierer en kommando til brugerens udklipsholder og derefter viser instruktioner, der beder dem om at indsætte og køre den – typisk ved at trykke Win + R, indsætte og trykke Enter. Kommandoen er forklædt som et verifikationstrin. I dette angreb var ClickFix-lokkemaden indlejret i en falsk CAPTCHA-side genereret af den kompromitterede widget . Hvis en bruger fulgte instruktionerne, udløste den indsatte kommando et PowerShell-script eller en HTML Application (HTA)-fil, som derefter downloadede og installerede malware .

Levering af nyttelast: RAT'er og informationsstjælende malware

Når ClickFix-lokkemaden var udført, leverede infektionskæden en eller flere af følgende nyttelaster :

• NetSupport RAT — En fjernadgangs-trojaner, der giver angribere vedvarende fjernkontrol over den inficerede maskine.
• Remcos RAT — En fjernadgangs-trojaner med keylogging, overvågnings- og legitimationsstjælefunktioner.
• StealC — En informationsstjæler, der målretter adgangskoder og økonomiske legitimationsoplysninger.
• Sectop RAT — En fjernadgangs-trojaner, der bruges til spionage.
• DeerStealer — En informationsstjæler observeret i tidligere SmartApeSG ClickFix-varianter .

Omfanget af bruddet

• Over 18.000 e-handelsbrands brugte den kompromitterede Okendo-widget, hvilket eksponerede en massiv downstream-angrebsflade .
• Berørte sider spændte fra mellemstore onlinebutikker til store amerikanske detailbrands med trafikestimater på 150.000 til flere millioner månedlige besøgende per side. Et enkelt påvirket amerikansk detailbrand har cirka 7 millioner besøgende om måneden .
• Alene den 14. maj 2026 registrerede Zslalers skyplatform næsten 15.000 blokeringer relateret til SmartApeSG-aktivitet – det højeste daglige volumen nogensinde set for denne trusselsaktør .

SmartApeSGs tidligere malware-historie

SmartApeSG er ikke en ny aktør. Gruppen har en dokumenteret historie med at køre ClickFix-stil-kampagner siden midten af 2024 og levere NetSupport RAT, Remcos RAT, StealC og Sectop RAT på tværs af flere tidligere operationer . Tidligere kampagner brugte kompromitterede websteder med falske CAPTCHA-sider til at narre brugere til at indsætte og udføre ondsindede kommandoer via Windows' Kør-dialog . Gruppen er også blevet observeret, mens de deployerede DeerStealer-informationsstjæler i tidligere ClickFix-varianter . Okendo-angrebet repræsenterer en eskalering: I stedet for at inficere individuelle websteder kompromitterede SmartApeSG en bredt anvendt tredjeparts-widget for at nå tusindvis af sider på én gang – en klassisk supply chain-forstærker .

Udbedringstrin

• Zscaler ThreatLabz rapporterede hændelsen direkte til Okendo den 14. maj 2026 .
• Okendo bekræftede kendskab til hændelsen og genoprettede det berørte widget-script til en ren tilstand, hvilket effektivt fjernede den ondsindede kode fra cirkulation .
• Zscaler deployerede detektionssignaturer under trusselsnavnet JS.Injection.SmartApeSG for at spore og blokere injektionsaktiviteten .
• Indikatorer for kompromittering (IoCs) offentliggjort af forskere inkluderer den kompromitterede widget-URL (hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js) og SmartApeSG C2-infrastrukturdomæner som api[.]wigetticks[.]com og api[.]wizzleticks[.]com .

Tekniske detaljer om det ondsindede JavaScript

Den injicerede kode fungerede som en trinvist loader med flere lag af omgåelse og målretning . I stedet for straks at droppe malware udførte den først miljøtjek for at undgå opdagelse og sikre, at offeret var et egnet mål:

• localStorage-sporing — Ved første besøg satte scriptet et tidsstempel i browserens localStorage. Dette forhindrede gentagen udførelse for den samme bruger, hvilket reducerede støj og sænkede chancen for at udløse sikkerhedsalarmer under rutinetest .
• User-Agent-filtrering (mobil-ekskludering) — Scriptet tjekkede besøgendes User-Agent-streng for at ignorere mobile browsere og kun målrette desktop-miljøer. Senere infektionsstadier var afhængige af Windows-specifikke interaktioner, så mobile ofre blev helt omgået .
• XOR-obfuskering — Loaderen rekonstruerede dynamisk sin næste-trins command-and-control (C2) URL ved at afkode XOR-obfuskerede strengfragmenter under kørsel og omgik derved basal signaturbaseret detektion .
• Dynamisk script-injektion — Efter at have rekonstrueret den skjulte C2-URL injicerede koden et nyt <script>-element på siden for at hente efterfølgende nyttelast .
• Falsk CAPTCHA / ClickFix social engineering — Ofre, der bestod alle tjek, blev præsenteret for en falsk "bekræft at du er et menneske"-side i ClickFix-stil. Prompten instruerede brugerne i at åbne Windows' Kør-dialog og indsætte en kommando, der stille og roligt var blevet kopieret til deres udklipsholder .

ClickFix-social engineering-lokkemaden

ClickFix er en social engineering-teknik, hvor et ondsindet script kopierer en kommando til brugerens udklipsholder og derefter viser instruktioner, der beder dem om at indsætte og køre den – typisk ved at trykke Win + R, indsætte og trykke Enter. Kommandoen er forklædt som et verifikationstrin. I dette angreb var ClickFix-lokkemaden indlejret i en falsk CAPTCHA-side genereret af den kompromitterede widget . Hvis en bruger fulgte instruktionerne, udløste den indsatte kommando et PowerShell-script eller en HTML Application (HTA)-fil, som derefter downloadede og installerede malware .

Levering af nyttelast: RAT'er og informationsstjælende malware

Når ClickFix-lokkemaden var udført, leverede infektionskæden en eller flere af følgende nyttelaster :

• NetSupport RAT — En fjernadgangs-trojaner, der giver angribere vedvarende fjernkontrol over den inficerede maskine.
• Remcos RAT — En fjernadgangs-trojaner med keylogging, overvågnings- og legitimationsstjælefunktioner.
• StealC — En informationsstjæler, der målretter adgangskoder og økonomiske legitimationsoplysninger.
• Sectop RAT — En fjernadgangs-trojaner, der bruges til spionage.
• DeerStealer — En informationsstjæler observeret i tidligere SmartApeSG ClickFix-varianter .

Omfanget af bruddet

• Over 18.000 e-handelsbrands brugte den kompromitterede Okendo-widget, hvilket eksponerede en massiv downstream-angrebsflade .
• Berørte sider spændte fra mellemstore onlinebutikker til store amerikanske detailbrands med trafikestimater på 150.000 til flere millioner månedlige besøgende per side. Et enkelt påvirket amerikansk detailbrand har cirka 7 millioner besøgende om måneden .
• Alene den 14. maj 2026 registrerede Zslalers skyplatform næsten 15.000 blokeringer relateret til SmartApeSG-aktivitet – det højeste daglige volumen nogensinde set for denne trusselsaktør .

SmartApeSGs tidligere malware-historie

SmartApeSG er ikke en ny aktør. Gruppen har en dokumenteret historie med at køre ClickFix-stil-kampagner siden midten af 2024 og levere NetSupport RAT, Remcos RAT, StealC og Sectop RAT på tværs af flere tidligere operationer . Tidligere kampagner brugte kompromitterede websteder med falske CAPTCHA-sider til at narre brugere til at indsætte og udføre ondsindede kommandoer via Windows' Kør-dialog . Gruppen er også blevet observeret, mens de deployerede DeerStealer-informationsstjæler i tidligere ClickFix-varianter . Okendo-angrebet repræsenterer en eskalering: I stedet for at inficere individuelle websteder kompromitterede SmartApeSG en bredt anvendt tredjeparts-widget for at nå tusindvis af sider på én gang – en klassisk supply chain-forstærker .

Udbedringstrin

• Zscaler ThreatLabz rapporterede hændelsen direkte til Okendo den 14. maj 2026 .
• Okendo bekræftede kendskab til hændelsen og genoprettede det berørte widget-script til en ren tilstand, hvilket effektivt fjernede den ondsindede kode fra cirkulation .
• Zscaler deployerede detektionssignaturer under trusselsnavnet JS.Injection.SmartApeSG for at spore og blokere injektionsaktiviteten .
• Indikatorer for kompromittering (IoCs) offentliggjort af forskere inkluderer den kompromitterede widget-URL (hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js) og SmartApeSG C2-infrastrukturdomæner som api[.]wigetticks[.]com og api[.]wizzleticks[.]com .