Hacket nettbutikk forsøkte å stjele passord og påloggingsdetaljer

Ifølge rapporter ser nedstengningen ut til å ha vært et grep for å begrense skaden så snart kompromitteringen ble offentlig kjent og forskere begynte å analysere nettstedets oppførsel.

Besøkende som nådde nettsiden mens den var kompromittert, ble møtt av en mistenkelig verifiseringsside i stedet for den vanlige butikkfronten.

Første varsel kom fra en X-bruker

Saken ble først kjent da en X-bruker med navn "Debbie" postet at siden så ut til å inneholde skadevare. Varselet spredte seg raskt blant sikkerhetsforskere og journalister, som straks begynte å granske hva som foregikk.

Forskerne kunne snart bekrefte at nettsiden oppførte seg unormalt og serverte innhold som er typisk for en kampanje for å spre skadevare.

Fellen: En falsk Cloudflare-verifiseringsside

Analyse viste at den kompromitterte siden viste en falsk Cloudflare-lignende verifiseringsside. Slike sider brukes vanligvis for å beskytte nettsteder mot roboter, men i dette tilfellet var den endret for å gjennomføre et sosial manipulasjonsangrep.

Siden hevdet at den besøkendes IP-adresse var flagget for "uregelmessig nettaktivitet". For å fortsette ble brukeren bedt om å kopiere en kommando fra siden og lime den inn i terminalen på datamaskinen.

Dette trinnet var selve fellen: å utføre kommandoen installerte skadevaren på enheten.

Teknikken kalles et ClickFix-angrep, en velkjent sosial manipulasjonsmetode der angripere forkler ondsinnede kommandoer som en del av en rutinemessig verifiseringsprosess og overtaler ofrene til å kjøre dem manuelt.

Hva en infostealer gjør

Skadevaren som ble distribuert gjennom den kompromitterte siden, var en infostealer. Slike programmer er bygget for å i stillhet samle inn sensitiv informasjon fra infiserte maskiner, for eksempel:

• brukernavn og passord
• nettleserinformasjonskapsler
• lagret autofullfør-data
• noen ganger informasjon om kryptovaluta-lommebøker

De stjålne dataene sendes vanligvis tilbake til angriperne for senere utnyttelse eller salg.

Et annet sikkerhetsproblem samme uke

Hacket av Based Apparel skjedde samme uke som en annen sikkerhetshendelse knyttet til en Trump-relatert bedrift, selv om de to sakene ikke er relatert.

Trump Mobile bekreftet at de hadde eksponert kunders data på det åpne internett, inkludert navn, e-postadresser, postadresser, telefonnumre og ordre-ID-er. Selskapet opplyste at de undersøkte eksponeringen og ikke hadde funnet bevis for at finansiell informasjon hadde lekket.

De to hendelsene illustrerer ulike typer cybersikkerhetssvikt:

• Based Apparel: En nettsidekompromittering som aktivt distribuerte skadevare til besøkende.
• Trump Mobile: En dataeksponering der kundeinformasjon var tilgjengelig på nettet.

Begge hendelsene vekket likevel bekymring om sikkerhetspraksisen til forbrukertjenester knyttet til høyprofilerte politiske skikkelser.

Hvorfor nettstedet ble tatt ned

Å ta et nettsted offline er en vanlig reaksjon etter et datainnbrudd. Det gir operatørene mulighet til å:

• hindre at flere besøkende blir utsatt for skadevare
• undersøke hvordan angriperne fikk tilgang
• fjerne ondsinnet kode og gjenopprette nettstedet på en sikker måte

Ifølge de første rapportene var butikken fortsatt nede mens problemet ble håndtert.

Den større lærdommen: Sosial manipulasjon er ofte det svakeste leddet

Det som gjorde angrepet bemerkelsesverdig, var ikke bare selve hackinget, men strategien med sosial manipulasjon som ble brukt for å infisere de besøkende. I stedet for å utnytte en sårbarhet i nettleseren, prøvde angriperne å overtale brukerne til å kjøre skadevaren selv.

Denne tilnærmingen har blitt stadig mer vanlig fordi den omgår mange automatiske forsvarsmekanismer – hvis en bruker frivillig utfører en kommando, kan sikkerhetsverktøy behandle det som legitim aktivitet.

Hendelsen viser hvordan selv rutinepregede meldinger, som CAPTCHA- eller Cloudflare-verifiseringsskjermer, kan manipuleres i sofistikerte phishing- og skadevarekampanjer.