Атака на ланцюжок постачання віджету відгуків Okendo: як SmartApeSG заразив понад 18 000 сайтів електронної комерції через ClickFix
14 травня 2026 року Zscaler ThreatLabz виявив атаку на ланцюжок постачання, в якій група SmartApeSG впровадила шкідливий JavaScript у віджет відгуків Okendo, яким користуються понад 18 000 брендів. Шкідливий код використовував localStorage для відстеження, фільтрацію User Agent для виключення мобільних пристроїв, XO...
What was the Okendo Reviews widget supply chain attack in mid-May 2026, including how the SmartApeSG threat actor compromised the widget witAI-generated illustration of a supply chain attack vector targeting a third-party widget.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the Okendo Reviews widget supply chain attack in mid-May 2026, including how the SmartApeSG threat actor compromised the widget wit. Article summary: Here is a comprehensive breakdown of the Okendo Reviews widget supply chain attack in mid-May 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as fac
openai.com
14 травня 2026 року дослідники Zscaler ThreatLabz виявили атаку на ланцюжок постачання, в якій загрозливий актор SmartApeSG (також відомий як ZPHP та HANEYMANEY) впровадив шкідливий JavaScript у легальний скрипт віджету відгуків Okendo. Okendo — це платформа відгуків клієнтів, яку використовують понад 18 000 брендів на високовідвідуваних сторінках інтернет-магазинів, сторінках товарів і формах відгуків по всьому світу . Компрометація піддала ризику мільйони онлайн-покупців, а хмарна платформа Zscaler зафіксувала майже 15 000 блокувань, пов'язаних з активністю SmartApeSG, лише за один день . Ця стаття детально розглядає технічні механізми атаки, масштаб витоку, доставлене шкідливе програмне забезпечення та реакцію Okendo.
Технічні механізми шкідливого JavaScript
Впроваджений код діяв як багатоетапний завантажувач з кількома шарами ухилення та націлювання . Замість негайного скидання шкідливого ПЗ, він спочатку виконував перевірки середовища, щоб уникнути виявлення та переконатися, що жертва є прийнятною ціллю:
Відстеження через localStorage — Під час першого відвідування скрипт встановлював мітку часу в localStorage браузера. Це запобігало повторному виконанню для одного користувача, зменшуючи шум і знижуючи ймовірність спрацювання сигналів безпеки під час звичайного тестування .
Фільтрація User-Agent (виключення мобільних) — Скрипт перевіряв рядок User-Agent відвідувача, щоб ігнорувати мобільні браузери та націлюватися лише на десктопні середовища. Пізніші етапи зараження покладалися на взаємодію, специфічну для Windows, тому мобільні жертви повністю обходилися .
XOR-обфускація — Завантажувач динамічно реконструював свою наступну C2-URL-адресу, декодуючи фрагменти рядків, обфускованих XOR, під час виконання, обходячи базовий сигнатурний аналіз .
Динамічне впровадження скрипта — Після відновлення прихованої C2-URL код впроваджував новий елемент <script> на сторінку для завантаження подальших корисних навантажень .
Фальшива CAPTCHA / Соціальна інженерія ClickFix — Жертвам, які пройшли всі перевірки, показували фальшиву сторінку "підтвердьте, що ви людина", стилізовану під ClickFix. Підказка інструктувала користувачів відкрити діалогове вікно Windows Run і вставити команду, яка була попередньо скопійована в їхній буфер обміну .
Соціально-інженерна приманка ClickFix
ClickFix — це техніка соціальної інженерії, коли шкідливий скрипт копіює команду в буфер обміну користувача, а потім показує інструкції з проханням вставити та виконати її — зазвичай натиснувши Win + R, вставивши та натиснувши Enter. Команда маскується під етап верифікації. У цій атаці приманка ClickFix була вбудована у фальшиву CAPTCHA-сторінку, згенеровану скомпрометованим віджетом . Якщо користувач слідував інструкціям, вставлена команда запускала PowerShell-скрипт або HTA-файл, які потім завантажували та встановлювали шкідливе ПЗ .
Доставка корисного навантаження: RAT та інфостилери
Після виконання приманки ClickFix ланцюжок зараження доставляв одне або кілька з наступних корисних навантажень :
NetSupport RAT — Троян віддаленого доступу, який надає зловмисникам постійний віддалений контроль над зараженим комп'ютером.
Remcos RAT — Троян віддаленого доступу з можливостями кейлогінгу, спостереження та крадіжки облікових даних.
StealC — Інформаційний злодій, який націлений на паролі та фінансові облікові дані.
Sectop RAT — Троян віддаленого доступу, який використовується для шпигунства.
DeerStealer — Інфостилер, який спостерігався в попередніх варіантах ClickFix від SmartApeSG .
Масштаб витоку
Понад 18 000 брендів електронної комерції використовували скомпрометований віджет Okendo, що відкривало колосальну поверхню атаки .
Серед уражених сайтів були як магазини середнього розміру, так і великі американські роздрібні бренди з оцінкою трафіку від 150 000 до кількох мільйонів відвідувачів на місяць на сайт. Один постраждалий американський роздрібний бренд залучає приблизно 7 мільйонів відвідувачів на місяць.
Лише 14 травня 2026 року хмарна платформа Zscaler зафіксувала майже 15 000 блокувань, пов'язаних з активністю SmartApeSG — це найвищий денний обсяг, коли-небудь зафіксований для цього загрозливого актора .
Попередня історія шкідливого ПЗ SmartApeSG
SmartApeSG — не нова група. Вона має задокументовану історію проведення кампаній у стилі ClickFix з середини 2024 року, доставляючи NetSupport RAT, Remcos RAT, StealC та Sectop RAT у багатьох попередніх операціях . Раніше кампанії використовували скомпрометовані веб-сайти з фальшивими CAPTCHA-сторінками, щоб обманом змусити користувачів вставляти та виконувати шкідливі команди через діалогове вікно Windows Run . Групу також помічали за використанням інфостилера DeerStealer у попередніх варіантах ClickFix . Атака на Okendo стала ескалацією: замість зараження окремих веб-сайтів, SmartApeSG скомпрометувала широко використовуваний сторонній віджет, щоб досягти тисяч сайтів одночасно — класичний підсилювач ланцюжка постачання .
Заходи з усунення
Zscaler ThreatLabz повідомила про інцидент безпосередньо компанії Okendo 14 травня 2026 року .
Okendo підтвердив обізнаність про інцидент і відновив чистий стан ураженого скрипта віджета, фактично видаливши шкідливий код з обігу .
Zscaler розгорнув сигнатури виявлення під назвою JS.Injection.SmartApeSG для відстеження та блокування активності впровадження .
Опубліковані дослідниками показники компрометації (IoCs) включають URL-адресу скомпрометованого віджета (
What is the short answer to "Атака на ланцюжок постачання віджету відгуків Okendo: як SmartApeSG заразив понад 18 000 сайтів електронної комерції через ClickFix"?
14 травня 2026 року Zscaler ThreatLabz виявив атаку на ланцюжок постачання, в якій група SmartApeSG впровадила шкідливий JavaScript у віджет відгуків Okendo, яким користуються понад 18 000 брендів.
What are the key points to validate first?
14 травня 2026 року Zscaler ThreatLabz виявив атаку на ланцюжок постачання, в якій група SmartApeSG впровадила шкідливий JavaScript у віджет відгуків Okendo, яким користуються понад 18 000 брендів. Шкідливий код використовував localStorage для відстеження, фільтрацію User Agent для виключення мобільних пристроїв, XOR обфускацію та підроблену CAPTCHA для соціальної інженерії ClickFix.
What should I do next in practice?
Жертв, які пройшли перевірки, обманом змушували вставити команду в діалогове вікно Run, що запускало PowerShell або HTA файл для завантаження RAT (NetSupport, Remcos, Sectop) та інфостилерів (StealC).
