Vid Adobes begäran, Hackers Nix 'clickjacking' Talk

Efter att Adobe Systems bad dem att hålla tyst om sina resultat har två säkerhetsforskare dragit sig ur ett tekniskt samtal där de skulle visa hur de kunde ta kontroll över ett offerets webbläsare med hjälp av en online-attack som kallades "clickjacking. '

Robert Hansen och Jeremiah Grossman hade varit inställda att leverera sitt samtal nästa vecka vid OWASP-konferensen (Open Web Application Security Project) i New York. Men beviset på konceptkoden som de hade utvecklat för att visa hur deras clickjacking attack fungerade avslöjade ett fel i en av Adobes produkter. Efter en vecka med diskussioner med Adobe bestämde forskarna förra fredagen att de skulle prata.

Även om Hansen och Grossman trodde att clickjackingfelet i slutändan ligger i sättet att webbläsare är utformade, övertygade Adobe dem att hålla fast vid sin diskussion tills de kunde släppa en patch. "Adobe tror att de kan göra någonting för att göra hacken hårdare", säger Grossman, CTO med White Hat Security, i en intervju.

I en clickjacking-attack trycker angriparen offret att klicka på skadliga webblänkar utan att förstå det. Denna typ av angrepp har varit känd i åratal men hade inte ansetts vara särskilt farlig. Säkerhetsexperter hade trodde att det skulle kunna användas för att begå reklamklikkbedrägeri eller att uppblåsa Digg-betyg för en webbsida, till exempel.

Men med att skriva sin proof of concept-kod insåg Hansen och Grossman att clickjacking faktiskt var mer seriösa än de hade tänkt.

"När vi äntligen byggde den och fick bevis på konceptet var det ganska otäckt", säger Grossman. "Om jag kontrollerar vad du klickar på, hur mycket dåligt kan jag göra? Det visar sig att du kan göra ett antal riktigt dåliga saker."

Varken Grossman eller Hansen, VD för konsultföretag SecTheory, ville komma in i detaljer av deras attack. Men Tom Brennan, OWASP-konferens arrangören sa att han har sett attackkoden visad och att det tillåter angriparen att ta full kontroll över offrets skrivbord.

Forskarna säger att de inte pressades av Adobe för att släppa sin prata. "Det här är inte så ont" mannen försöker hålla oss hackare nere ", skrev Hansen på måndagen på sin blogg.

Senast måndag lade Adobe ett meddelande och tackade forskarna för att hålla buggen privat och indikerar att Företaget arbetar med att patcha problemet.

Även om avslöjandet av felet kan hjälpa angripare, sa OWASPs Brennan att forskarna fortfarande ska fortsätta och prata för att ge IT-proffsen möjlighet att förstå hotets verkliga natur. "Det finns ett nolldagsproblem i webbläsare som påverkar miljontals människor idag," sa han. "När en person diskuterar det, sätter den alla på samma spelplan."

Hansen och Grossman säger att de också förväntar sig att Microsoft ska klämma in en relaterad bugg i Internet Explorer och att många andra webbläsare också påverkas av clickjackingproblemet. "Vi tror att det är mer eller mindre ett webbläsaresäkerhetsproblem", säger Grossman.