Attacco hacker al sito di Kash Patel: 'Based Apparel' offline per un tentativo di furto di dati

Secondo le ricostruzioni, la disattivazione è apparsa come una misura di contenimento una volta che la compromissione è diventata pubblica e i ricercatori hanno iniziato ad analizzare il comportamento del sito.

Durante l'attacco, ai visitatori che raggiungevano il sito veniva mostrata una sospetta pagina di verifica al posto del normale negozio.

Il primo allarme da un utente di X

Il problema è emerso pubblicamente quando un utente di X, noto come 'Debbie', ha postato che il sito sembrava contenere malware. L'avvertimento ha rapidamente attirato l'attenzione di ricercatori di sicurezza e giornalisti, portando a ulteriori indagini su ciò che stava accadendo sul sito.

I ricercatori hanno presto confermato che il sito si comportava in modo anomalo e distribuiva contenuti coerenti con una campagna di diffusione di malware.

La trappola della falsa verifica Cloudflare

L'analisi ha mostrato che il sito compromesso presentava una falsa pagina di verifica in stile Cloudflare. Queste pagine di solito proteggono i siti web dai bot, ma in questo caso la pagina era stata modificata per mettere in atto un attacco di ingegneria sociale.

La pagina comunicava ai visitatori che il loro indirizzo IP era stato segnalato per 'attività web irregolare'. Per proseguire, agli utenti veniva chiesto di copiare un comando dalla pagina e incollarlo nel terminale del proprio computer.

Questo passaggio era la trappola: eseguire il comando avrebbe installato il malware sul dispositivo.

Questa tattica ricorda una nota tecnica di ingegneria sociale spesso chiamata attacco ClickFix, in cui gli aggressori mascherano comandi malevoli come parte di un processo di verifica di routine e convincono le vittime a eseguirli manualmente.

Cosa fa un Infostealer

Il malware diffuso attraverso il sito compromesso era un infostealer. Questi programmi sono progettati per raccogliere silenziosamente informazioni sensibili dai computer infetti, come:

• credenziali di accesso e password
• cookie del browser
• dati di compilazione automatica salvati
• a volte, informazioni sui portafogli di criptovalute

I dati rubati vengono in genere inviati agli aggressori per un successivo sfruttamento o vendita.

Un problema di sicurezza separato nella stessa settimana

L'attacco a Based Apparel è avvenuto nella stessa settimana di un altro incidente di sicurezza che ha coinvolto un'azienda legata a Trump, sebbene i due casi non siano correlati.

Trump Mobile ha confermato di aver esposto i dati dei clienti su Internet aperto, inclusi nomi, indirizzi email, indirizzi postali, numeri di telefono e identificatori di ordine. L'azienda ha dichiarato di star indagando sull'esposizione e di non aver trovato prove della fuga di informazioni finanziarie.

I due eventi evidenziano diversi tipi di fallimenti nella sicurezza informatica:

• Based Apparel: una compromissione del sito web utilizzata per distribuire attivamente malware ai visitatori.
• Trump Mobile: un'esposizione di dati in cui le informazioni dei clienti sono state rese accessibili online.

Entrambi gli incidenti hanno comunque sollevato preoccupazioni sulle pratiche di sicurezza dei servizi rivolti ai consumatori e legati a figure politiche di alto profilo.

Perché il sito è stato disattivato

Disattivare un sito è una risposta comune dopo una compromissione web. Consente agli operatori di:

• impedire ad altri visitatori di essere esposti al malware
• indagare su come gli aggressori hanno ottenuto l'accesso
• rimuovere il codice malevolo e ripristinare il sito in sicurezza

Al momento delle prime notizie, il negozio rimaneva offline mentre si stava affrontando il problema.

La lezione più grande: l'ingegneria sociale è spesso l'anello più debole

Ciò che ha reso notevole l'attacco non è stato solo l'hack in sé, ma la strategia di ingegneria sociale utilizzata per infettare i visitatori. Invece di sfruttare silenziosamente una vulnerabilità del browser, gli aggressori hanno tentato di convincere gli utenti a eseguire il malware da soli.

Questo approccio è diventato sempre più comune perché aggira molte difese automatiche: se un utente esegue volontariamente un comando, gli strumenti di sicurezza potrebbero considerarlo attività legittima.

L'incidente illustra come anche i prompt più comuni, come le schermate di verifica CAPTCHA o Cloudflare, possano essere manipolati in campagne di phishing e malware sofisticate.