Alvorligt supply chain-angreb på Okendo-widget: Sådan infiltrerede SmartApeSG 18.000+ webshops

Den 14. maj 2026 identificerede Zscaler ThreatLabz et supply chain-angreb, hvor trusselsaktøren SmartApeSG (også kendt som ZPHP og HANEYMANEY) injicerede ondsindet JavaScript i det legitime Okendo-anmeldelses-widget-script . Okendo er en kundeanmeldelsesplatform, der bruges af over 18.000 brands på travle e-handelsbutikker, produktsider og anmeldelsesformularer verden over . Kompromitteringen eksponerede millioner af online-shoppere for malware, og Zslalers skyplatform registrerede næsten 15.000 blokeringer relateret til SmartApeSG-aktivitet på en enkelt dag . Denne artikel gennemgår de tekniske detaljer for angrebet, omfanget af bruddet, den anvendte malware og hvordan Okendo reagerede.

Tekniske detaljer om det ondsindede JavaScript

Den injicerede kode fungerede som en trinvist loader med flere lag af omgåelse og målretning . I stedet for straks at droppe malware udførte den først miljøtjek for at undgå opdagelse og sikre, at offeret var et egnet mål:

• localStorage-sporing — Ved første besøg satte scriptet et tidsstempel i browserens localStorage. Dette forhindrede gentagen udførelse for den samme bruger, hvilket reducerede støj og sænkede chancen for at udløse sikkerhedsalarmer under rutinetest .
• User-Agent-filtrering (mobil-ekskludering) — Scriptet tjekkede besøgendes User-Agent-streng for at ignorere mobile browsere og kun målrette desktop-miljøer. Senere infektionsstadier var afhængige af Windows-specifikke interaktioner, så mobile ofre blev helt omgået .
• XOR-obfuskering — Loaderen rekonstruerede dynamisk sin næste-trins command-and-control (C2) URL ved at afkode XOR-obfuskerede strengfragmenter under kørsel og omgik derved basal signaturbaseret detektion .
• Dynamisk script-injektion — Efter at have rekonstrueret den skjulte C2-URL injicerede koden et nyt <script>-element på siden for at hente efterfølgende nyttelast .
• Falsk CAPTCHA / ClickFix social engineering — Ofre, der bestod alle tjek, blev præsenteret for en falsk "bekræft at du er et menneske"-side i ClickFix-stil. Prompten instruerede brugerne i at åbne Windows' Kør-dialog og indsætte en kommando, der stille og roligt var blevet kopieret til deres udklipsholder .

ClickFix-social engineering-lokkemaden

ClickFix er en social engineering-teknik, hvor et ondsindet script kopierer en kommando til brugerens udklipsholder og derefter viser instruktioner, der beder dem om at indsætte og køre den – typisk ved at trykke Win + R, indsætte og trykke Enter. Kommandoen er forklædt som et verifikationstrin. I dette angreb var ClickFix-lokkemaden indlejret i en falsk CAPTCHA-side genereret af den kompromitterede widget . Hvis en bruger fulgte instruktionerne, udløste den indsatte kommando et PowerShell-script eller en HTML Application (HTA)-fil, som derefter downloadede og installerede malware .

Levering af nyttelast: RAT'er og informationsstjælende malware

Når ClickFix-lokkemaden var udført, leverede infektionskæden en eller flere af følgende nyttelaster :

• NetSupport RAT — En fjernadgangs-trojaner, der giver angribere vedvarende fjernkontrol over den inficerede maskine.
• Remcos RAT — En fjernadgangs-trojaner med keylogging, overvågnings- og legitimationsstjælefunktioner.
• StealC — En informationsstjæler, der målretter adgangskoder og økonomiske legitimationsoplysninger.
• Sectop RAT — En fjernadgangs-trojaner, der bruges til spionage.
• DeerStealer — En informationsstjæler observeret i tidligere SmartApeSG ClickFix-varianter .

Omfanget af bruddet

• Over 18.000 e-handelsbrands brugte den kompromitterede Okendo-widget, hvilket eksponerede en massiv downstream-angrebsflade .
• Berørte sider spændte fra mellemstore onlinebutikker til store amerikanske detailbrands med trafikestimater på 150.000 til flere millioner månedlige besøgende per side. Et enkelt påvirket amerikansk detailbrand har cirka 7 millioner besøgende om måneden .
• Alene den 14. maj 2026 registrerede Zslalers skyplatform næsten 15.000 blokeringer relateret til SmartApeSG-aktivitet – det højeste daglige volumen nogensinde set for denne trusselsaktør .

SmartApeSGs tidligere malware-historie

SmartApeSG er ikke en ny aktør. Gruppen har en dokumenteret historie med at køre ClickFix-stil-kampagner siden midten af 2024 og levere NetSupport RAT, Remcos RAT, StealC og Sectop RAT på tværs af flere tidligere operationer . Tidligere kampagner brugte kompromitterede websteder med falske CAPTCHA-sider til at narre brugere til at indsætte og udføre ondsindede kommandoer via Windows' Kør-dialog . Gruppen er også blevet observeret, mens de deployerede DeerStealer-informationsstjæler i tidligere ClickFix-varianter . Okendo-angrebet repræsenterer en eskalering: I stedet for at inficere individuelle websteder kompromitterede SmartApeSG en bredt anvendt tredjeparts-widget for at nå tusindvis af sider på én gang – en klassisk supply chain-forstærker .

Udbedringstrin

• Zscaler ThreatLabz rapporterede hændelsen direkte til Okendo den 14. maj 2026 .
• Okendo bekræftede kendskab til hændelsen og genoprettede det berørte widget-script til en ren tilstand, hvilket effektivt fjernede den ondsindede kode fra cirkulation .
• Zscaler deployerede detektionssignaturer under trusselsnavnet JS.Injection.SmartApeSG for at spore og blokere injektionsaktiviteten .
• Indikatorer for kompromittering (IoCs) offentliggjort af forskere inkluderer den kompromitterede widget-URL (

  hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js

  ) og SmartApeSG C2-infrastrukturdomæner som api[.]wigetticks[.]com og api[.]wizzleticks[.]com .