Fiți atenți, această fereastră pop-up cu parolă ar putea fi falsă
- Un cercetător în domeniul securității a conceput o modalitate de a crea ferestre pop-up de conectare cu conectare unică foarte convingătoare, dar false.
- Ferestrele pop-up false folosesc adrese URL legitime pentru a părea autentice.
- Trucul demonstrează că persoanelor care folosesc numai parole li se vor fura acreditările mai devreme sau mai târziu, avertizează experții.
Boonchai wedmakawand / Getty Images
Navigarea pe web devine mai complicat în fiecare zi.
Majoritatea site-urilor web în prezent oferă mai multe opțiuni pentru a crea un cont. Puteți fie să vă înregistrați pe site-ul web, fie să utilizați mecanismul de conectare unică (SSO) pentru a vă conecta pe site folosind conturile dvs. existente la companii de renume precum Google, Facebook sau Apple. Un cercetător în securitate cibernetică a valorificat acest lucru și a conceput un mecanism nou pentru a vă fura acreditările de conectare prin crearea unei ferestre de conectare SSO false practic nedetectabile.
„Popularitatea în creștere a SSO oferă o mulțime de beneficii [oamenilor]”,
Autentificare falsă
În mod tradițional, atacatorii au folosit tactici precum atacuri omografe care înlocuiesc unele dintre literele din adresa URL inițială cu caractere asemănătoare pentru a crea adrese URL rău intenționate noi, greu de identificat și pagini de conectare false.
Cu toate acestea, această strategie se destramă adesea dacă oamenii examinează cu atenție adresa URL. Industria securității cibernetice a sfătuit de mult oamenii să verifice bara de adrese URL pentru a se asigura că listează adresa corectă și are lângă ea un lacăt verde, care semnalează că pagina web este securizată.
„Toate acestea m-au determinat în cele din urmă să mă gândesc, este posibil să fac sfatul „Verificați adresa URL” mai puțin fiabil? După o săptămână de brainstorming, am decis că răspunsul este da.” a scris cercetătorul anonim care folosește pseudonimul, mr.d0x.
Atacul creat de mr.d0x, numit browser-in-the-browser (BitB), folosește cele trei blocuri esențiale ale web-ului — HTML, foi de stil în cascadă (CSS) și JavaScript - pentru a crea o fereastră pop-up SSO falsă care este în esență imposibil de distins de cea reală lucru.
„Bara URL falsă poate conține orice dorește, chiar și locații aparent valide. Mai mult, modificările JavaScript fac astfel încât trecerea cu mouse-ul pe link sau pe butonul de conectare să apară și o destinație URL aparent validă”, a adăugat Higgins după ce l-a examinat pe dl. mecanismul lui d0x.
Pentru a demonstra BitB, mr.d0x a creat o versiune falsă a platformei online de design grafic, Canva. Când cineva face clic pentru a se conecta la site-ul fals folosind opțiunea SSO, site-ul web apare fereastra de conectare creată de BitB cu adresa furnizorului SSO falsificat, cum ar fi Google, pentru a păcăli vizitatorul să-și introducă datele de conectare, care sunt apoi trimise la atacatori.
Tehnica a impresionat mai mulți dezvoltatori web. „Ooh, ce rău: Browser In The Browser (BITB) Attack, o nouă tehnică de phishing care permite furtul de acreditări pe care nici măcar un profesionist web nu le poate detecta.” François Zaninotto, CEO al companiei de dezvoltare web și mobilă Marmelab, a scris pe Twitter.
Uite unde mergi
În timp ce BitB este mai convingător decât ferestrele de conectare false comune, Higgins a împărtășit câteva sfaturi pe care oamenii le pot folosi pentru a se proteja.
Pentru început, în ciuda faptului că fereastra pop-up BitB SSO arată ca un pop-up legitim, chiar nu este. Prin urmare, dacă apucați bara de adrese a acestei ferestre pop-up și încercați să o trageți, aceasta nu se va deplasa dincolo de marginea ferestrei principale. fereastra site-ului web, spre deosebire de o fereastră pop-up reală, care este complet independentă și poate fi mutată în orice parte a desktop.
Higgins a spus că testarea legitimității ferestrei SSO folosind această metodă nu ar funcționa pe un dispozitiv mobil. „Aici este locul în care [autentificarea cu mai mulți factori] sau utilizarea opțiunilor de autentificare fără parolă poate fi cu adevărat de ajutor. Chiar dacă ați căzut pradă atacului BitB, [escrocii] nu ar putea neapărat să [utilizeze acreditările furate] fără celelalte părți ale unei rutine de conectare MFA”, a sugerat Higgins.
„Internetul nu este casa noastră. Este un spațiu public. Trebuie să verificăm ce vizităm.”
De asemenea, deoarece este o fereastră de autentificare falsă, managerul de parole (dacă utilizați unul) nu va completa automat acreditările, oferindu-vă din nou o pauză pentru a observa ceva greșit.
De asemenea, este important să rețineți că, deși pop-up-ul BitB SSO este greu de detectat, acesta trebuie totuși lansat de pe un site rău intenționat. Pentru a vedea o fereastră pop-up ca aceasta, ar fi trebuit să fii deja pe un site web fals.
Acesta este motivul pentru care, cerc complet, Adrien Gendre, Chief Tech and Product Officer la Vade Secure, sugerează că oamenii ar trebui să se uite la adresele URL de fiecare dată când dau clic pe un link.
„În același mod în care verificăm numărul de pe ușă pentru a ne asigura că ajungem în camera de hotel potrivită, oamenii ar trebui să arunce întotdeauna o privire rapidă la adresele URL atunci când navighează pe un site web. Internetul nu este casa noastră. Este un spațiu public. Trebuie să verificăm ce vizităm”, a subliniat Gendre.