FBI Direktörü Kash Patel'in ürün sitesi, hackerların ziyaretçilere zararlı yazılım bulaştırmak için sahte bir doğrulama sayfası kullanmasının ardından yayından kaldırıldı.

Haberlere göre, site, saldırının kamuoyuna duyurulması ve araştırmacıların sitenin davranışını analiz etmeye başlamasıyla bir önlem olarak kapatıldı.

Saldırı sırasında siteyi ziyaret edenler, normal mağaza sayfası yerine şüpheli bir doğrulama sayfasıyla karşılaştı.

İlk Uyarı Bir X Kullanıcısından Geldi

Olay ilk olarak X platformunda 'Debbie' rumuzlu bir kullanıcının sitede kötü amaçlı yazılım olduğunu bildirmesiyle gündeme geldi. Bu uyarı, güvenlik araştırmacılarının ve gazetecilerin dikkatini çekerek sitede neler olduğuna dair daha detaylı bir inceleme başlattı.

Araştırmacılar kısa sürede sitenin anormal davrandığını ve bir kötü amaçlı yazılım dağıtım kampanyasıyla tutarlı içerikler sunduğunu doğruladı.

Sahte Cloudflare Doğrulama Tuzağı

Yapılan analizler, ele geçirilen sitenin sahte bir Cloudflare tipi doğrulama sayfası gösterdiğini ortaya koydu. Bu sayfalar normalde web sitelerini botlardan korumak için kullanılır, ancak burada sayfa bir sosyal mühendislik saldırısı gerçekleştirmek için değiştirilmişti.

Sayfa, ziyaretçilere IP adreslerinin 'olağandışı web etkinliği' nedeniyle işaretlendiğini bildiriyordu. Devam etmek için kullanıcılardan sayfadaki bir komutu kopyalayıp bilgisayarlarının terminaline yapıştırmaları isteniyordu.

Bu adım bir tuzaktı: Komutu çalıştırmak, cihaza kötü amaçlı yazılım yüklüyordu.

Bu taktik, ClickFix saldırısı olarak bilinen ve saldırganların kötü niyetli komutları rutin bir doğrulama sürecinin parçası gibi gizleyerek kurbanları manuel olarak çalıştırmaya ikna ettiği bir sosyal mühendislik tekniğine benziyor.

Infostealer Ne Yapar?

Ele geçirilen site aracılığıyla dağıtıldığı bildirilen kötü amaçlı yazılım bir infostealer'dı. Bu programlar, bulaştıkları makinelerden şu gibi hassas bilgileri sessizce toplamak için üretilmiştir:

• giriş bilgileri ve şifreler
• tarayıcı çerezleri
• kayıtlı otomatik doldurma verileri
• bazen kripto para cüzdanı bilgileri

Çalınan veriler genellikle daha sonra kullanılmak veya satılmak üzere saldırganlara gönderilir.

Aynı Haftada Ayrı Bir Güvenlik Sorunu

Based Apparel saldırısı, Trump bağlantılı bir başka işletmeyi ilgilendiren başka bir güvenlik olayıyla aynı haftaya denk geldi, ancak iki vaka birbiriyle ilişkili değildi.

Trump Mobile, isimler, e-posta adresleri, posta adresleri, telefon numaraları ve sipariş tanımlayıcıları dahil olmak üzere müşteri verilerini açık internette ifşa ettiğini doğruladı. Şirket, sızıntıyı araştırdığını ve finansal bilgilerin sızdırıldığına dair bir kanıt bulamadığını açıkladı.

İki olay, farklı siber güvenlik başarısızlığı türlerini gözler önüne seriyor:

• Based Apparel: Ziyaretçilere aktif olarak kötü amaçlı yazılım dağıtmak için kullanılan bir web sitesi güvenlik ihlali.
• Trump Mobile: Müşteri bilgilerinin çevrimiçi olarak erişilebilir olduğu bir veri sızıntısı.

Her iki olay da üst düzey siyasi figürlerle bağlantılı tüketici odaklı hizmetler etrafındaki güvenlik uygulamaları hakkında endişeleri artırdı.

Site Neden Kapatıldı?

Bir web sitesini yayından kaldırmak, bir siber saldırının ardından yaygın bir müdahale yöntemidir. Bu, operatörlerin şunları yapmasını sağlar:

• ek ziyaretçilerin kötü amaçlı yazılıma maruz kalmasını durdurmak
• saldırganların siteye nasıl eriştiğini araştırmak
• kötü amaçlı kodu kaldırmak ve siteyi güvenli bir şekilde geri yüklemek

İlk haberlere göre, mağaza bu sorun giderilirken çevrimdışı kaldı.

Daha Büyük Ders: Sosyal Mühendislik Genellikle En Zayıf Halkadır

Saldırıyı dikkat çekici kılan sadece hack'in kendisi değil, aynı zamanda ziyaretçilere bulaştırmak için kullanılan sosyal mühendislik stratejisiydi. Saldırganlar, bir tarayıcı açığını sessizce kullanmak yerine, kullanıcıları kötü amaçlı yazılımı kendileri çalıştırmaya ikna etmeye çalıştı.

Bu yaklaşım, birçok otomatik savunmayı atladığı için giderek yaygınlaşıyor—eğer bir kullanıcı gönüllü olarak bir komutu çalıştırırsa, güvenlik araçları bunu meşru bir etkinlik olarak değerlendirebilir.

Olay, CAPTCHA veya Cloudflare doğrulama ekranları gibi rutin görünen istemlerin bile karmaşık kimlik avı ve kötü amaçlı yazılım kampanyalarında nasıl manipüle edilebileceğini gösteriyor.