Kash Patels tøjmærke udsat for hackerangreb – besøgende forsøgt smittet med malware

Ifølge rapporterne så nedlukningen ud til at være et skridt for at begrænse skaden, da kompromitteringen blev offentlig kendt, og forskere begyndte at analysere sidens opførsel.

Besøgende, der nåede hjemmesiden under kompromitteringen, blev angiveligt mødt af en mistænkelig verifikationsside i stedet for den normale butiksfacade.

Første advarsel kom fra en X-bruger

Problemet kom først frem, da en X-bruger kendt som "Debbie" postede, at siden indeholdt malware. Advarslen tiltrak sig hurtigt opmærksomhed fra sikkerhedsforskere og journalister, hvilket førte til yderligere undersøgelser af, hvad der foregik på siden.

Forskere bekræftede hurtigt, at hjemmesiden opførte sig unormalt og serverede indhold, der var i overensstemmelse med en malware-distributionskampagne.

Den falske Cloudflare-verifikationsfælde

Analyse viste, at den kompromitterede side præsenterede en falsk Cloudflare-lignende verifikationsside. Disse sider beskytter normalt websteder mod bots, men i dette tilfælde var siden blevet ændret til at levere et social engineering-angreb.

Siden fortalte angiveligt besøgende, at deres IP-adresse var blevet markeret for "uregelmæssig webaktivitet." For at fortsætte blev brugerne instrueret i at kopiere en kommando fra siden og indsætte den i computerens terminal.

Det trin var fælden: at udføre kommandoen ville installere malware på enheden.

Denne taktik ligner en kendt social engineering-teknik, ofte kaldet et ClickFix-angreb, hvor angribere forklæder ondsindede kommandoer som en del af en rutinemæssig verifikationsproces og overtaler ofre til at køre dem manuelt.

Hvad en infostealer gør

Malwaren, der blev distribueret gennem den kompromitterede side, var en infostealer. Disse programmer er bygget til stille og roligt at indsamle følsomme oplysninger fra inficerede maskiner, såsom:

• loginoplysninger og adgangskoder
• browser-cookies
• gemt autofill-data
• nogle gange cryptocurrency-pungoplysninger

De stjålne data sendes typisk tilbage til angriberne til senere udnyttelse eller salg.

Et separat sikkerhedsproblem samme uge

Based Apparel-hacket dukkede op i samme uge som en anden sikkerhedshændelse, der involverede en Trump-relateret virksomhed, selvom de to sager var uafhængige.

Trump Mobile bekræftede, at de havde eksponeret kunders data på det åbne internet, herunder navne, e-mailadresser, postadresser, telefonnumre og ordre-ID'er. Virksomheden sagde, at de undersøgte eksponeringen og ikke fandt beviser for, at finansielle oplysninger var lækket.

De to begivenheder fremhæver forskellige typer af cybersikkerhedssvigt:

• Based Apparel: et websteds-kompromittering brugt til aktivt at distribuere malware til besøgende.
• Trump Mobile: en dataeksponering, hvor kundeoplysninger var tilgængelige online.

Begge hændelser rejste dog bekymringer om sikkerhedspraksis omkring forbrugerrettede tjenester forbundet med højtprofilerede politiske figurer.

Hvorfor siden blev taget offline

At tage en side offline er en almindelig reaktion efter et websteds-kompromittering. Det giver operatørerne mulighed for at:

• forhindre yderligere besøgende i at blive udsat for malware
• undersøge, hvordan angriberne fik adgang
• fjerne ondsindet kode og genoprette siden sikkert

På rapporteringstidspunktet var butikken stadig offline, mens problemet blev løst.

Den større lærestreg: Social engineering er ofte det svageste led

Det, der gjorde angrebet bemærkelsesværdigt, var ikke kun selve hacket, men den social engineering-strategi, der blev brugt til at smitte besøgende. I stedet for stille og roligt at udnytte en browsersårbarhed forsøgte angriberne at overbevise brugerne om selv at køre malwaren.

Denne tilgang er blevet mere og mere almindelig, fordi den omgår mange automatiserede forsvar – hvis en bruger frivilligt udfører en kommando, kan sikkerhedsværktøjer behandle det som legitim aktivitet.

Hændelsen illustrerer, hvordan selv rutinemæssige prompter, såsom CAPTCHA eller Cloudflare-verifikationsskærme, kan manipuleres i sofistikerede phishing- og malware-kampagner.