Komponenter

Browserbug kan tillåta phishing utan e-post

The Internet: Packets, Routing & Reliability

The Internet: Packets, Routing & Reliability
Anonim

En bugg som finns i alla större webbläsare kan göra det lättare för brottslingar att stjäla Internetbankuppgifter med hjälp av en ny typ av attack som kallas "phishing in-session", enligt forskare hos säkerhetsleverantören Trusteer.

Sessionsfiskning (pdf) ger de dåliga killarna en lösning på det största problemet för phishers idag: hur man når nya offer. I en traditionell phishing-attack skickar svindlarna ut miljoner miljoner e-postmeddelanden förklädd för att se ut som om de kommer från legitima företag, till exempel banker eller betalningsföretag.

Dessa meddelanden blockeras ofta av spamfiltreringsprogram, men med phishing i sessionen tas e-postmeddelandet ut ur ekvationen, ersatt av ett popup-fönster.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Så här är en attack skulle fungera: De dåliga killarna skulle hacka en legitim webbplats och plantera HTML-kod som ser ut som ett popup-säkerhetsvarselsfönster. Popupen skulle då be brottsoffret ange lösenord och inloggningsinformation och eventuellt svara på andra säkerhetsfrågor som bankerna använde för att verifiera identiteten hos sina kunder.

För attacker skulle den svåra delen vara övertygande offer att denna pop -uppsägning är legitim. Men tack vare en bugg som finns i JavaScript-motorerna hos alla de mest använda webbläsarna finns det ett sätt att få denna typ av attack att tycka mer trovärdig, säger Amit Klein, Trusteers chefstekniker.

Genom att studera hur webbläsare Använda JavaScript, sade Klein att han har hittat ett sätt att identifiera om någon är inloggad på en webbplats, förutsatt att de använder en viss JavaScript-funktion. Klein skulle inte namnge funktionen eftersom det skulle ge brottslingar ett sätt att starta attacken, men han har anmält webbläsare och förväntar sig att buggen så småningom blir patched.

Fram till dess kan brottslingar som upptäcker felet skriva kod som kontrollerar om webbsurfare är inloggade, till exempel en förutbestämd lista över 100 bankwebbplatser. "Istället för att bara poppar upp det här slumpmässiga phishing-meddelandet kan en angripare bli mer sofistikerad genom att söka och se om användaren för närvarande är inloggad på en av 100 finansinstituts webbplatser," sa han.

"Det faktum att du" omedelbar sammanträde ger mycket trovärdighet till phishing-meddelandet, "tillade han.

Säkerhetsforskare har utvecklat andra sätt att avgöra om ett offer är inloggat på en viss webbplats, men de är inte alltid tillförlitliga. Klein sa att hans teknik inte alltid fungerar men den kan användas på många webbplatser, inklusive banker, onlinebutiker, spel och sociala nätverk.