Strona z gadżetami Kash Patela wyłączona po ataku hakerskim. Próbowano zainfekować odwiedzających złośliwym oprogramowaniem

Według doniesień, wyłączenie wydawało się być krokiem mającym na celu powstrzymanie rozprzestrzeniania się zagrożenia, gdy tylko kompromitacja stała się publiczna, a badacze zaczęli analizować zachowanie strony.

Odwiedzający, którzy trafili na stronę podczas ataku, zamiast normalnego sklepu widzieli podejrzaną stronę weryfikacyjną.

Pierwsze ostrzeżenie od użytkownika X

Problem po raz pierwszy ujawnił się publicznie, gdy użytkownik X znany jako „Debbie” opublikował informację, że strona wydaje się zawierać złośliwe oprogramowanie. Ostrzeżenie szybko przyciągnęło uwagę badaczy bezpieczeństwa i dziennikarzy, co skłoniło do dalszego dochodzenia w sprawie tego, co dzieje się na stronie.

Badacze wkrótce potwierdzili, że strona zachowywała się nienormalnie i wyświetlała treści zgodne z kampanią dystrybucji złośliwego oprogramowania.

Pułapka fałszywej weryfikacji Cloudflare

Analiza wykazała, że przejęta strona wyświetlała fałszywą stronę weryfikacyjną w stylu Cloudflare. Strony te zwykle chronią witryny przed botami, ale w tym przypadku strona została zmodyfikowana w celu przeprowadzenia ataku socjotechnicznego.

Strona podobno informowała odwiedzających, że ich adres IP został oznaczony jako wykonujący „nieregularną aktywność w sieci”. Aby kontynuować, użytkownicy byli instruowani, aby skopiować polecenie ze strony i wkleić je do terminala swojego komputera.

Ten krok był pułapką: wykonanie polecenia zainstalowało złośliwe oprogramowanie na urządzeniu.

Ta taktyka przypomina znaną technikę inżynierii społecznej, często nazywaną atakiem ClickFix, w ramach której atakujący maskują złośliwe polecenia jako część rutynowego procesu weryfikacji i nakłaniają ofiary do ręcznego ich uruchomienia.

Czym jest infostealer?

Złośliwe oprogramowanie dystrybuowane za pośrednictwem przejętej strony było infostealerem. Programy te są zaprojektowane do cichego gromadzenia wrażliwych informacji z zainfekowanych maszyn, takich jak:

• dane logowania i hasła
• pliki cookie przeglądarki
• zapisane dane autouzupełniania
• czasami informacje o portfelach kryptowalut

Skradzione dane są zazwyczaj przesyłane z powrotem do atakujących w celu późniejszego wykorzystania lub sprzedaży.

Oddzielny problem bezpieczeństwa w tym samym tygodniu

Atak na Based Apparel miał miejsce w tym samym tygodniu, co inny incydent bezpieczeństwa dotyczący firmy powiązanej z Trumpem, chociaż oba przypadki nie były ze sobą powiązane.

Trump Mobile potwierdził, że ujawnił dane klientów w otwartym internecie, w tym imiona, adresy e-mail, adresy zamieszkania, numery telefonów i identyfikatory zamówień. Firma oświadczyła, że bada sprawę i nie znalazła dowodów na wyciek danych finansowych.

Oba zdarzenia podkreślają różne rodzaje awarii bezpieczeństwa cybernetycznego:

• Based Apparel: kompromitacja strony internetowej wykorzystana do aktywnego dystrybuowania złośliwego oprogramowania wśród odwiedzających.
• Trump Mobile: wyciek danych, w którym dane klientów były dostępne online.

Oba incydenty wzbudziły jednak obawy dotyczące praktyk bezpieczeństwa w usługach konsumenckich powiązanych z prominentnymi postaciami politycznymi.

Dlaczego strona została wyłączona?

Wyłączenie strony jest powszechną reakcją po kompromitacji w sieci. Pozwala to operatorom na:

• zatrzymanie narażania kolejnych odwiedzających na złośliwe oprogramowanie
• zbadanie, w jaki sposób atakujący uzyskali dostęp
• usunięcie złośliwego kodu i bezpieczne przywrócenie strony

Według wstępnych doniesień, sklep pozostawał wyłączony do czasu rozwiązania problemu.

Wnioski: Inżynieria społeczna jest często najsłabszym ogniwem

To, co uczyniło ten atak godnym uwagi, to nie tylko sam hack, ale strategia inżynierii społecznej zastosowana do zainfekowania odwiedzających. Zamiast po cichu wykorzystywać lukę w przeglądarce, atakujący próbowali przekonać użytkowników do samodzielnego uruchomienia złośliwego oprogramowania.

To podejście staje się coraz bardziej powszechne, ponieważ omija wiele zautomatyzowanych zabezpieczeń – jeśli użytkownik dobrowolnie uruchomi polecenie, narzędzia bezpieczeństwa mogą traktować je jako legalną aktywność.

Incydent ilustruje, jak nawet rutynowo wyglądające monity, takie jak CAPTCHA lub ekrany weryfikacyjne Cloudflare, mogą być manipulowane w wyrafinowanych kampaniach phishingowych i malware.