Сайт «Based Apparel» Каша Пателя закрили після зламу з метою поширення шкідливого ПЗ

За інформацією джерел, закриття сайту було, ймовірно, кроком для локалізації загрози після того, як факт зламу став публічним, і дослідники почали аналізувати поведінку сайту.

Користувачі, які потрапляли на сайт під час атаки, замість звичайної вітрини бачили підозрілу сторінку верифікації.

Перше попередження від користувача X

Першою проблему публічно виявила користувачка X на ім'я «Debbie», яка повідомила, що на сайті, ймовірно, є шкідливе програмне забезпечення. Її попередження швидко привернуло увагу дослідників безпеки та журналістів, що спонукало до подальшого розслідування того, що саме відбувається на сайті.

Дослідники невдовзі підтвердили, що сайт поводиться аномально та розповсюджує контент, типовий для кампаній із поширення шкідливого ПЗ.

Пастка у вигляді фальшивої перевірки Cloudflare

Аналіз показав, що зламаний сайт показував фальшиву сторінку перевірки в стилі Cloudflare. Зазвичай такі сторінки потрібні для захисту сайтів від ботів, але в цьому випадку вона була змінена для реалізації атаки із застосуванням соціальної інженерії.

Сторінка, за повідомленнями, говорила відвідувачам, що їхню IP-адресу позначено через «незвичайну веб-активність» (irregular web activity). Щоб продовжити, користувачам пропонували скопіювати команду зі сторінки та вставити її в термінал на своєму комп'ютері.

Цей крок і був пасткою: виконання команди призводило до встановлення шкідливого ПЗ на пристрій.

Така тактика дуже нагадує відому техніку соціальної інженерії, яку часто називають атакою ClickFix. У ній зловмисники маскують шкідливі команди під частину звичайного процесу верифікації та переконують жертв виконати їх вручну.

Що таке інфостилер і як він працює

Шкідливе ПЗ, яке, за повідомленнями, поширювалося через зламаний сайт, було інфостилером (викрадачем інформації). Такі програми призначені для непомітного збору конфіденційної інформації із заражених машин, зокрема:

• логінів і паролів
• файлів cookie браузера
• збережених даних автозаповнення
• іноді даних криптовалютних гаманців

Викрадені дані, як правило, надсилаються зловмисникам для подальшого використання або продажу.

Окрема проблема безпеки того ж тижня

Злам «Based Apparel» стався того ж тижня, що й інший інцидент безпеки, пов'язаний із бізнесом Трампа, хоча ці два випадки не були між собою пов'язані.

Компанія Trump Mobile підтвердила, що залишила дані клієнтів у відкритому доступі в інтернеті, включаючи імена, адреси електронної пошти, поштові адреси, номери телефонів та ідентифікатори замовлень. Компанія заявила, що проводить розслідування та не знайшла доказів витоку фінансової інформації.

Ці дві події ілюструють різні типи збоїв у системі кібербезпеки:

• «Based Apparel»: злам веб-сайту з метою активного поширення шкідливого ПЗ серед відвідувачів.
• Trump Mobile: витік даних, коли особиста інформація клієнтів виявилася загальнодоступною в інтернеті.

Обидва інциденти, тим не менш, викликали занепокоєння щодо практик безпеки в споживчих сервісах, пов'язаних із високопосадовими політичними фігурами.

Чому сайт було закрито

Закриття сайту є стандартною реакцією після виявлення зламу. Це дозволяє операторам:

• зупинити подальше зараження нових відвідувачів
• розслідувати, як зловмисники отримали доступ
• видалити шкідливий код і безпечно відновити роботу сайту

На момент початкових повідомлень магазин залишався закритим, поки проблему вирішували.

Головний урок: соціальна інженерія часто є найслабшою ланкою

Ця атака примітна не просто самим зламом, а стратегією соціальної інженерії, яку використали для зараження відвідувачів. Замість того, щоб тихо використовувати вразливість браузера, зловмисники намагалися переконати самих користувачів запустити шкідливе ПЗ.

Такий підхід стає дедалі поширенішим, оскільки він дозволяє обійти багато автоматизованих засобів захисту: якщо користувач добровільно виконує команду, інструменти безпеки можуть розцінювати це як легітимну дію.

Інцидент наочно показує, як навіть звичайні на вигляд запити, такі як CAPTCHA або екрани верифікації Cloudflare, можуть бути використані в складних фішингових кампаніях і кампаніях із поширення шкідливого ПЗ.