Komponenter

Sikkerhedsleverandør Trusteer siger, at den har fundet en måde at gøre phishing uden e-mail takket være en fejl i alle større browsere.

Sajid Wajid की जोड़ी टूटी, Wajid Khan की Death, Corona Virus से भी पीड़ित थे (BBC HINDI)

Sajid Wajid की जोड़ी टूटी, Wajid Khan की Death, Corona Virus से भी पीड़ित थे (BBC HINDI)
Anonim

In-session phishing (pdf) giver de onde en løsning på det største problem phishers i disse dage: hvordan man når nye ofre. I et traditionelt phishing-angreb sender svindlere millioner af falske e-mail-meddelelser forklædt for at se ud som om de kommer fra legitime virksomheder, såsom banker eller online betalingsselskaber. Disse meddelelser blokeres ofte af spamfiltreringssoftware, men med phishing i session, fjernes e-mail-meddelelsen ud af ligningen, erstattet af et pop-up-vindue.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Sådan er et angreb ville arbejde: De onde gutter ville hack et legitimt websted og plante HTML-kode, der ligner et popup-sikkerhedsvarslingsvindue. Pop-up vil derefter bede offeret om at indtaste adgangskode og loginoplysninger og eventuelt besvare andre sikkerhedsspørgsmål, som bankerne bruger til at verificere deres kunders identitet.

For angribere ville den hårde del være overbevisende ofre for at denne pop -opkald er legitimt. Men takket være en fejl fundet i JavaScript-motorerne fra alle de mest anvendte browsere, er der en måde at få denne type angreb til at virke mere troværdige, siger Amit Klein, Trusteer's Chief Technology Officer.

Ved at undersøge, hvordan browsere Brug JavaScript, sagde Klein, at han har fundet en måde at identificere, om nogen er logget ind på et websted, forudsat at de bruger en bestemt JavaScript-funktion. Klein ville ikke navngive funktionen, fordi det ville give kriminelle en måde at starte angrebet på, men han har meddelt browser beslutningstagere og forventer at fejlen til sidst vil blive patched.

Indtil da kan kriminelle der opdager fejlen skrive kode, der kontrollerer om websurfere er logget ind, for eksempel en forudbestemt liste over 100 banktjenester. "I stedet for bare at dukke op denne tilfældige phishing-besked, kan en angriber blive mere sofistikeret ved at sondere og finde ud af, om brugeren er logget ind på en af ​​100 finansinstitutionswebsteder," sagde han.

"Det faktum at du" I øjeblikket er det meget troværdigt for phishing-meddelelsen, "tilføjede han.

Sikkerhedsforskere har udviklet andre måder til at afgøre, om et offer er logget ind på et bestemt websted, men de er ikke altid pålidelige. Klein sagde, at hans teknik ikke altid fungerer, men den kan bruges på mange steder, herunder banker, onlinebutikker, spil og sociale netværk.