האתר של קאש פאטל הושבת: ניסיון להדביק מבקרים בנוזקה

לפי הדיווחים, ההשבתה נראתה כצעד בלימה לאחר שהפריצה נחשפה לציבור וחוקרים החלו לנתח את התנהגות האתר.

מבקרים שהגיעו לאתר בזמן הפריצה דיווחו שנראתה להם הודעת אימות חשודה במקום חנות רגילה.

האזהרה הראשונה הגיעה ממשתמשת X

הבעיה התגלתה לראשונה בפומבי על ידי משתמשת X הידועה בשם "דבי", שפרסמה כי האתר נראה כמי שמכיל תוכנה זדונית. האזהרה משכה במהירות את תשומת לבם של חוקרי אבטחה ועיתונאים, והובילה לחקירה נוספת של המתרחש באתר.

חוקרים אישרו עד מהרה כי האתר מתנהג בצורה חריגה ומגיש תוכן התואם למסע הפצת נוזקות.

מלכודת אימות הקלאודפלייר המזויפת

ניתוח האירוע הראה כי האתר הנגוע הציג דף אימות מזויף בסגנון קלאודפלייר. דפים אלה נועדו בדרך כלל להגן על אתרים מפני בוטים, אך במקרה זה הדף שונה כדי לבצע מתקפת הנדסה חברתית.

הדף דיווח למבקרים כי כתובת ה-IP שלהם סומנה כחשודה ב**"פעילות רשת חריגה"**. כדי להמשיך, המבקרים התבקשו להעתיק פקודה מהדף ולהדביק אותה בטרמינל של המחשב.

שלב זה היה המלכודת: ביצוע הפקודה התקין תוכנה זדונית במכשיר.

טקטיקה זו דומה לטכניקת הנדסה חברתית מוכרת המכונה לעתים קרובות מתקפת ClickFix, שבה תוקפים מסווים פקודות זדוניות כחלק מתהליך אימות שגרתי ומשכנעים קורבנות להריץ אותן באופן ידני.

מה עושה תוכנת גניבת פרטים

הנוזקה שהופצה דרך האתר הנגוע הייתה תוכנת גניבת פרטים (infostealer). תוכנות אלו נועדו לאסוף בשקט מידע רגיש ממכונות נגועות, כגון:

• פרטי התחברות וסיסמאות
• עוגיות דפדפן
• נתוני מילוי אוטומטי שמורים
• לעיתים מידע על ארנקי מטבעות קריפטוגרפיים

הנתונים הגנובים נשלחים בדרך כלל בחזרה לתוקפים לניצול או מכירה מאוחרים יותר.

בעיית אבטחה נוספת באותו שבוע

פריצת Based Apparel התרחשה באותו שבוע של תקרית אבטחה נוספת הקשורה לעסק של טראמפ, אם כי שני המקרים אינם קשורים זה לזה.

חברת Trump Mobile אישרה כי חשפה נתוני לקוחות באינטרנט הפתוח, כולל שמות, כתובות דוא"ל, כתובות דואר, מספרי טלפון ומזהי הזמנות. החברה אמרה כי היא חוקרת את החשיפה ולא מצאה ראיות לכך שמידע פיננסי דלף.

שני האירועים מדגישים סוגים שונים של כשלי אבטחת סייבר:

• Based Apparel: פשרה באתר ששימשה להפצה פעילה של נוזקות למבקרים.
• Trump Mobile: חשיפת מידע שבה פרטי לקוחות היו נגישים באינטרנט.

שני המקרים העלו חששות לגבי נוהלי האבטחה סביב שירותים הפונים לציבור המחוברים לדמויות פוליטיות בולטות.

מדוע האתר הושבת

השבתת האתר היא תגובה נפוצה לאחר פשרה ברשת. היא מאפשרת למפעילים:

• לעצור מבקרים נוספים מלהחשף לנוזקה
• לחקור כיצד התוקפים השיגו גישה
• להסיר קוד זדוני ולשחזר את האתר בבטחה

נכון למועד הדיווח הראשוני, החנות נותרה מושבתת בזמן הטיפול בבעיה.

הלקח הגדול: הנדסה חברתית היא לעתים קרובות החוליה החלשה ביותר

מה שהפך את ההתקפה לבולטת היה לא רק הפריצה עצמה אלא אסטרטגיית ההנדסה החברתית ששימשה להדביק מבקרים. במקום לנצל בשקט פרצת אבטחה בדפדפן, התוקפים ניסו לשכנע משתמשים להריץ את הנוזקה בעצמם.

גישה זו הפכה נפוצה יותר ויותר מכיוון שהיא עוקפת הגנות אוטומטיות רבות – אם משתמש מבצע פקודה מרצונו, כלי אבטחה עלולים להתייחס אליה כפעילות לגיטימית.

האירוע ממחיש כיצד אפילו הנחיות שגרתיות למראה, כגון מסכי CAPTCHA או אימות קלאודפלייר, יכולות להיות מנוצלות בקמפיינים מתוחכמים של דיוג ונוזקות.