Componente

Bug-ul browser-ului ar putea permite phishingul fără e-mail

VisBug Tutorial - Rapidly Improve Layouts in the Browser

VisBug Tutorial - Rapidly Improve Layouts in the Browser
Anonim

Un bug găsit în toate browserele majore ar putea facilita criminalilor să fure acreditările bancare online folosind un nou tip de atac numit "phishing în timpul sesiunii", potrivit cercetătorilor de la Trusteer.

Phishingul în sesiune (pdf) îi oferă celor răi o soluție la cea mai mare problemă cu care se confruntă în prezent: cum să ajungi la noi victime. Într-un atac tradițional de phishing, escrocii trimit milioane de mesaje false de e-mail deghizate să pară că provin de la companii legitime, cum ar fi băncile sau companiile de plată online.

Aceste mesaje sunt adesea blocate de software-ul de filtrare a spamului cu phishing în sesiune, mesajul e-mail este eliminat din ecuație, înlocuit cu o fereastră de browser pop-up.

[Citiți în continuare: Cum să eliminați programele malware de pe PC-ul Windows]

ar fi de lucru: băieții răi ar hack un site web legitim și de plante HTML cod care arată ca o fereastră pop-up alertă de securitate. Pop-up-ul va cere apoi victimei să introducă parola și informațiile de conectare și, eventual, să răspundă la alte întrebări de securitate utilizate de bănci pentru a verifica identitatea clienților lor.

Pentru atacatori, partea dificilă ar fi victimele convingătoare că acest pop -primul anunț este legitim. Dar grație unui bug găsit în motoarele JavaScript ale tuturor browserelor cele mai utilizate pe scară largă, există o modalitate de a face acest tip de atac să pară mai credibil, a spus Amit Klein, directorul tehnologie al Trusteer.

Studiind modul în care browserele utilizați JavaScript, Klein a spus că a găsit o modalitate de a identifica dacă cineva este sau nu logat într-un site Web, cu condiția să utilizeze o anumită funcție JavaScript. Klein nu ar numi funcția deoarece ar da criminalilor o cale de lansare a atacului, dar el a notificat producătorii de browsere și se așteaptă ca bug-ul să primească patch-uri. Până atunci, criminali care descoperă defectul ar putea scrie codul care verifică dacă surferii Web sunt conectați, de exemplu, la o listă predeterminată de 100 de site-uri bancare. "În loc să apară doar acest mesaj de tip" phishing ", un atacator poate deveni mai sofisticat, permițând să afle dacă utilizatorul este conectat în prezent la unul dintre cele 100 de site-uri web ale instituțiilor financiare", a spus el. in prezent in sesiune ofera o multa credibilitate mesajului de phishing ", a adaugat el.

Cercetatorii de securitate au dezvoltat alte modalitati de a determina daca o victima este conectata intr-un anumit site, dar acestea nu sunt intotdeauna de incredere. Klein a spus că tehnica sa nu funcționează întotdeauna, dar poate fi folosită pe multe site-uri, inclusiv bănci, comercianți cu amănuntul on-line, jocuri de noroc și rețele de socializare.