Komponenter

Nettleserbug kan tillate phishing uten e-post

How to identify, avoid, and report phishing — Apple Support

How to identify, avoid, and report phishing — Apple Support
Anonim

En feil funnet i alle de store nettleserne kan gjøre det lettere for kriminelle å stjele nettbankinformasjonen ved hjelp av en ny type angrep som heter "Session Phishing", ifølge forskere fra Security Vendor Trusteer.

Sesongfisking (pdf) gir de slemmene en løsning på det største problemet som phishers står overfor i dag: hvordan nå nye ofre. I et tradisjonelt phishing-angrep sender svindlere ut millioner av falske e-postmeldinger skjult for å se ut som de kommer fra legitime selskaper, som banker eller elektroniske betalingsselskaper.

Disse meldingene blir ofte blokkert av spamfiltreringsprogramvare, men med phishing i sessions blir e-postmeldingen tatt ut av ligningen, erstattet av et popup-vindu.

[Videre lesing: Slik fjerner du skadelig programvare fra Windows-PCen]

Slik er et angrep ville fungere: De dårlige ville hacke et legitimt nettsted og plante HTML-kode som ser ut som et popup-sikkerhetsvarselvindu. Pop-upen vil da be om at offeret oppgir passord og innloggingsinformasjon, og muligens svare på andre sikkerhetsspørsmål som bankene bruker for å verifisere identiteten til sine kunder.

For angripere ville den harde delen være overbevisende ofre for at denne popen Oppsigelsen er legitim. Men takket være en feil funnet i JavaScript-motorer av alle de mest brukte nettleserne, er det en måte å få denne typen angrep til å virke mer troverdig, sier Amit Klein, Trusteers sjefteknolog.

Ved å studere måten nettlesere bruke JavaScript, sier Klein at han har funnet en måte å identifisere hvorvidt noen er logget inn på et nettsted, forutsatt at de bruker en bestemt JavaScript-funksjon. Klein ville ikke nevne funksjonen fordi det ville gi kriminelle en måte å starte angrepet på, men han har varslet nettlesere og forventer at feilen vil bli oppdatert.

Inntil da kan kriminelle som oppdager feilen skrive kode som sjekker om websurfere er logget inn, for eksempel en forhåndsbestemt liste over 100 banksider. "I stedet for å bare slå opp denne tilfeldige phishing-meldingen, kan en angriper bli mer sofistikert ved å undersøke om brukeren er logget inn på en av 100 finansinstitusjon nettsteder," sa han.

"Det faktum at du" For øyeblikket er det mye troverdighet i phishing-meldingen, sier han.

Sikkerhetsforskere har utviklet andre måter å avgjøre om et offer er logget inn på et bestemt nettsted, men de er ikke alltid pålitelige. Klein sa at hans teknikk ikke alltid fungerer, men den kan brukes på mange nettsteder, inkludert banker, onlinebutikker, spill og sosiale nettverk.