Атака на ланцюжок постачання віджету відгуків Okendo: як SmartApeSG заразив понад 18 000 сайтів електронної комерції через ClickFix

Технічні механізми шкідливого JavaScript

Впроваджений код діяв як багатоетапний завантажувач з кількома шарами ухилення та націлювання . Замість негайного скидання шкідливого ПЗ, він спочатку виконував перевірки середовища, щоб уникнути виявлення та переконатися, що жертва є прийнятною ціллю:

• Відстеження через localStorage — Під час першого відвідування скрипт встановлював мітку часу в localStorage браузера. Це запобігало повторному виконанню для одного користувача, зменшуючи шум і знижуючи ймовірність спрацювання сигналів безпеки під час звичайного тестування .
• Фільтрація User-Agent (виключення мобільних) — Скрипт перевіряв рядок User-Agent відвідувача, щоб ігнорувати мобільні браузери та націлюватися лише на десктопні середовища. Пізніші етапи зараження покладалися на взаємодію, специфічну для Windows, тому мобільні жертви повністю обходилися .
• XOR-обфускація — Завантажувач динамічно реконструював свою наступну C2-URL-адресу, декодуючи фрагменти рядків, обфускованих XOR, під час виконання, обходячи базовий сигнатурний аналіз .
• Динамічне впровадження скрипта — Після відновлення прихованої C2-URL код впроваджував новий елемент <script> на сторінку для завантаження подальших корисних навантажень .
• Фальшива CAPTCHA / Соціальна інженерія ClickFix — Жертвам, які пройшли всі перевірки, показували фальшиву сторінку "підтвердьте, що ви людина", стилізовану під ClickFix. Підказка інструктувала користувачів відкрити діалогове вікно Windows Run і вставити команду, яка була попередньо скопійована в їхній буфер обміну .

Соціально-інженерна приманка ClickFix

ClickFix — це техніка соціальної інженерії, коли шкідливий скрипт копіює команду в буфер обміну користувача, а потім показує інструкції з проханням вставити та виконати її — зазвичай натиснувши Win + R, вставивши та натиснувши Enter. Команда маскується під етап верифікації. У цій атаці приманка ClickFix була вбудована у фальшиву CAPTCHA-сторінку, згенеровану скомпрометованим віджетом . Якщо користувач слідував інструкціям, вставлена команда запускала PowerShell-скрипт або HTA-файл, які потім завантажували та встановлювали шкідливе ПЗ .

Доставка корисного навантаження: RAT та інфостилери

Після виконання приманки ClickFix ланцюжок зараження доставляв одне або кілька з наступних корисних навантажень :

• NetSupport RAT — Троян віддаленого доступу, який надає зловмисникам постійний віддалений контроль над зараженим комп'ютером.
• Remcos RAT — Троян віддаленого доступу з можливостями кейлогінгу, спостереження та крадіжки облікових даних.
• StealC — Інформаційний злодій, який націлений на паролі та фінансові облікові дані.
• Sectop RAT — Троян віддаленого доступу, який використовується для шпигунства.
• DeerStealer — Інфостилер, який спостерігався в попередніх варіантах ClickFix від SmartApeSG .

Масштаб витоку

• Понад 18 000 брендів електронної комерції використовували скомпрометований віджет Okendo, що відкривало колосальну поверхню атаки .
• Серед уражених сайтів були як магазини середнього розміру, так і великі американські роздрібні бренди з оцінкою трафіку від 150 000 до кількох мільйонів відвідувачів на місяць на сайт. Один постраждалий американський роздрібний бренд залучає приблизно 7 мільйонів відвідувачів на місяць .
• Лише 14 травня 2026 року хмарна платформа Zscaler зафіксувала майже 15 000 блокувань, пов'язаних з активністю SmartApeSG — це найвищий денний обсяг, коли-небудь зафіксований для цього загрозливого актора .

Попередня історія шкідливого ПЗ SmartApeSG

SmartApeSG — не нова група. Вона має задокументовану історію проведення кампаній у стилі ClickFix з середини 2024 року, доставляючи NetSupport RAT, Remcos RAT, StealC та Sectop RAT у багатьох попередніх операціях . Раніше кампанії використовували скомпрометовані веб-сайти з фальшивими CAPTCHA-сторінками, щоб обманом змусити користувачів вставляти та виконувати шкідливі команди через діалогове вікно Windows Run . Групу також помічали за використанням інфостилера DeerStealer у попередніх варіантах ClickFix . Атака на Okendo стала ескалацією: замість зараження окремих веб-сайтів, SmartApeSG скомпрометувала широко використовуваний сторонній віджет, щоб досягти тисяч сайтів одночасно — класичний підсилювач ланцюжка постачання .

Заходи з усунення

• Zscaler ThreatLabz повідомила про інцидент безпосередньо компанії Okendo 14 травня 2026 року .
• Okendo підтвердив обізнаність про інцидент і відновив чистий стан ураженого скрипта віджета, фактично видаливши шкідливий код з обігу .
• Zscaler розгорнув сигнатури виявлення під назвою JS.Injection.SmartApeSG для відстеження та блокування активності впровадження .
• Опубліковані дослідниками показники компрометації (IoCs) включають URL-адресу скомпрометованого віджета (

  hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js

  ) та домени інфраструктури C2 SmartApeSG, такі як api[.]wigetticks[.]com та api[.]wizzleticks[.]com .