Əsas Çıxarışlar
- Təhlükəsizlik tədqiqatçısı çox inandırıcı, lakin saxta tək giriş pop-upları yaratmaq üçün bir yol hazırlayıb.
- Saxta pop-uplar daha orijinal görünmək üçün qanuni URL-lərdən istifadə edir.
- Bu hiylə göstərir ki, yalnız parollardan istifadə edən insanların etimadnamələri gec-tez oğurlanacaq, ekspertləri xəbərdar edin.
Vebdə naviqasiya hər gün çətinləşir.
Bu günlərdə əksər vebsaytlar hesab yaratmaq üçün bir neçə variant təklif edir. Siz ya vebsaytda qeydiyyatdan keçə, ya da Google, Facebook və ya Apple kimi nüfuzlu şirkətlərdə mövcud hesablarınızdan istifadə edərək vebsayta daxil olmaq üçün vahid giriş (SSO) mexanizmindən istifadə edə bilərsiniz. Kibertəhlükəsizlik tədqiqatçısı bundan istifadə etdi və faktiki olaraq aşkar edilməyən saxta SSO giriş pəncərəsi yaradaraq, giriş məlumatlarınızı oğurlamaq üçün yeni mexanizm hazırlayıb.
"SSO-nun artan populyarlığı [insanlara] çoxlu faydalar təmin edir" dedi Dispersive Holdings, Inc-in Mühəndislik Direktoru Scott Higgins e-poçt vasitəsilə Lifewire-ə. "Lakin, ağıllı hakerlər indi bu marşrutdan dahiyanə şəkildə istifadə edirlər."
Saxta Giriş
Ənənəvi olaraq, təcavüzkarlar yeni, aşkarlanması çətin olan zərərli URL-lər və saxta giriş səhifələri yaratmaq üçün orijinal URL-dəki bəzi hərfləri oxşar görünüşlü simvollarla əvəz edən homoqraf hücumları kimi taktikalardan istifadə ediblər.
Lakin insanlar URL-i diqqətlə nəzərdən keçirsələr, bu strategiya çox vaxt dağılır. Kibertəhlükəsizlik sənayesi uzun müddətdir ki, insanlara URL sətrini yoxlamağı tövsiyə edib ki, orada düzgün ünvanı qeyd etsinlər və onun yanında yaşıl asma kilid var ki, bu da veb-səhifənin təhlükəsiz olduğunu bildirir.
"Bütün bunlar nəhayət məni düşünməyə vadar etdi ki, "URL-u yoxlayın" məsləhətini daha az etibarlı etmək mümkündürmü? Bir həftəlik beyin fırtınası nəticəsində mən cavabın bəli olduğuna qərar verdim "deyə istifadə edən anonim tədqiqatçı yazıb. təxəllüs, mr.d0x.
Browser-in-the-brauzer (BitB) adlı yaradılmış mr.d0x hücumu saxta yaratmaq üçün veb-HTML, kaskad üslub cədvəlləri (CSS) və JavaScript-in üç əsas blokundan istifadə edir. Gerçəkdən mahiyyətcə fərqlənməyən SSO pop-up pəncərəsi.
"Saxta URL zolağında istədiyi hər şey, hətta etibarlı görünən yerlər ola bilər. Bundan əlavə, JavaScript modifikasiyaları onu elə edir ki, keçid və ya giriş düyməsinin üzərinə keçmək həm də etibarlı görünən URL təyinatını açacaq, " əlavə edib Higgins müayinə etdikdən sonra mr. d0x mexanizmi.
BitB-ni nümayiş etdirmək üçün mr.d0x onlayn qrafik dizayn platforması Canva-nın saxta versiyasını yaratdı. Kimsə SSO seçimindən istifadə edərək saxta sayta daxil olmaq üçün kliklədikdə, vebsayt ziyarətçini öz giriş etimadnaməsini daxil etməyə aldatmaq üçün Google kimi saxta SSO provayderinin qanuni ünvanı ilə BitB hazırlanmış giriş pəncərəsini açır. sonra hücumçulara göndərildi.
Texnika bir neçə veb tərtibatçısını heyran etdi. Marmelab veb və mobil inkişaf şirkətinin baş direktoru Fransua Zaninotto Twitter-də belə yazıb: "Oh, bu pisdir: Brauzerdə Brauzer (BITB) Hücum, hətta bir veb peşəkarının aşkar edə bilmədiyi etimadnamələri oğurlamağa imkan verən yeni fişinq texnikası".
Getdiyiniz yerə baxın
BitB köhnə saxta giriş pəncərələrindən daha inandırıcı olsa da, Higgins insanların özlərini qorumaq üçün istifadə edə biləcəyi bir neçə ipucu paylaşdı.
Başlayanlar üçün, BitB SSO pop-up pəncərəsinin qanuni pop-up kimi görünməsinə baxmayaraq, əslində belə deyil. Buna görə də, bu pop-upın ünvan çubuğunu tutub sürükləməyə çalışsanız, tamamilə müstəqil olan və istənilən pəncərəyə köçürülə bilən real pop-up pəncərəsindən fərqli olaraq, o, əsas veb-saytın pəncərəsinin kənarından kənara çıxmayacaq. masa üstü hissəsi.
Higgins paylaşdı ki, bu metoddan istifadə edərək SSO pəncərəsinin legitimliyini yoxlamaq mobil cihazda işləməyəcək."Burada [çox faktorlu autentifikasiya] və ya parolsuz autentifikasiya seçimlərindən istifadə həqiqətən faydalı ola bilər. BitB hücumunun qurbanı olsanız belə, [fırıldaqçılar] mütləq [oğurlanmış etimadnamələrinizdən] istifadə edə bilməyəcəklər. XİN-ə giriş rejiminin digər hissələri, " Higgins təklif etdi.
İnternet bizim evimiz deyil. O, ictimai məkandır. Nə ziyarət etdiyimizi yoxlamalıyıq.
Həmçinin, bu, saxta giriş pəncərəsi olduğundan, parol meneceri (əgər siz onlardan istifadə edirsinizsə) etimadnamələri avtomatik doldurmayacaq və sizə nəyisə səhv tapmaq üçün yenidən fasilə verəcək.
Həmçinin yadda saxlamaq lazımdır ki, BitB SSO pop-up-ı aşkar etmək çətin olsa da, o, hələ də zərərli saytdan işə salınmalıdır. Belə pop-up görmək üçün siz artıq saxta vebsaytda olmalısınız.
Buna görə də Vade Secure-un Baş Texniki və Məhsul Direktoru Adrien Gendre insanlara hər dəfə linkə kliklədikdə URL-lərə baxmağı təklif edir.
"Doğru otel otağına girdiyimizə əmin olmaq üçün qapıdakı nömrəni yoxladığımız kimi, insanlar vebsayta baxarkən həmişə URL-lərə tez nəzər salmalıdırlar. İnternet bizim evimiz deyil. Bu, ictimai məkandır. Biz nəyi ziyarət etdiyimizi yoxlamalıyıq ", - Gendre vurğuladı.
