Kash Patels klädwebbplats stängdes efter att hackare försökte stjäla besökares lösenord

Enligt uppgifter framstod nedstängningen som en åtgärd för att begränsa skadan när komprometteringen blev offentlig och forskare började analysera webbplatsens beteende.

Besökare som nådde webbplatsen under attacken möttes av en misstänkt verifieringssida istället för den vanliga butikssidan.

Första varningen kom från en X-användare

Problemet upptäcktes först offentligt när en X-användare med namnet "Debbie" postade att sidan verkade innehålla skadlig kod. Varningen uppmärksammades snabbt av säkerhetsforskare och journalister, vilket ledde till ytterligare undersökningar av vad som hände på sidan.

Forskare bekräftade snart att webbplatsen betedde sig onormalt och levererade innehåll som var typiskt för en kampanj för spridning av skadlig kod.

Den falska Cloudflare-verifieringsfällan

Analyser visade att den komprometterade sidan visade en falsk Cloudflare-liknande verifieringssida. Dessa sidor används normalt för att skydda webbplatser från bots, men i detta fall hade sidan ändrats för att genomföra en social manipuleringsattack.

Sidan påstod enligt uppgift att besökarens IP-adress hade flaggats för "oegentlig webbaktivitet." För att fortsätta uppmanades användarna att kopiera en kommandorad från sidan och klistra in den i sin dators terminal.

Detta steg var fällan: att utföra kommandot installerade malware på enheten.

Denna taktik liknar en känd social manipuleringsmetod som ofta kallas ClickFix-attack, där angripare klär ut skadliga kommandon som en del av en rutinmässig verifieringsprocess och övertalar offer att köra dem manuellt.

Vad en infostealer gör

Malwaren som rapporterades distribueras via den komprometterade webbplatsen var en infostealer. Dessa program är byggda för att i tysthet samla in känslig information från infekterade datorer, såsom:

• inloggningsuppgifter och lösenord
• webbhistorik och cookies
• sparade autofyll-data
• ibland information om kryptovaluta-plånböcker

Den stulna informationen skickas vanligtvis tillbaka till angriparna för senare utnyttjande eller försäljning.

Ett separat säkerhetsproblem samma vecka

Based Apparel-hacket inträffade samma vecka som en annan säkerhetsincident med ett Trump-kopplat företag, även om de två fallen var orelaterade.

Trump Mobile bekräftade att de hade exponerat kunddata på det öppna internet, inklusive namn, e-postadresser, postadresser, telefonnummer och ordernummer. Företaget uppgav att de utredde exponeringen och inte hade funnit bevis för att finansiell information läckt ut.

De två händelserna belyser olika typer av cybersäkerhetsbrister:

• Based Apparel: en webbplatskompromettering som användes för att aktivt distribuera skadlig kod till besökare.
• Trump Mobile: en dataexponering där kundinformation var tillgänglig online.

Båda incidenterna väckte ändå frågor om säkerhetsrutinerna kring konsumentnära tjänster kopplade till högt profilerade politiska personer.

Varför webbplatsen togs offline

Att ta en webbplats offline är en vanlig åtgärd efter en kompromettering. Det gör det möjligt för operatörerna att:

• stoppa ytterligare besökare från att exponeras för skadlig kod
• utreda hur angriparna fick åtkomst
• ta bort skadlig kod och återställa webbplatsen på ett säkert sätt

Enligt de första rapporterna var butiken fortfarande offline medan problemet åtgärdades.

Den större lärdomen: Social manipulering är ofta den svagaste länken

Det som gjorde attacken anmärkningsvärd var inte bara själva hacket utan den sociala manipuleringsstrategi som användes för att infektera besökare. Istället för att tyst utnyttja en sårbarhet i webbläsaren försökte angriparna övertyga användarna att själva köra den skadliga koden.

Denna metod har blivit allt vanligare eftersom den kringgår många automatiska försvar – om en användare frivilligt utför ett kommando kan säkerhetsverktyg behandla det som legitim aktivitet.

Incidenten illustrerar hur även till synes rutinmässiga uppmaningar, som CAPTCHA eller Cloudflare-verifieringsskärmar, kan manipuleras i sofistikerade nätfiske- och malwarekampanjer.