Komponen

Bug Peramban Dapat Membiarkan Phishing Tanpa E-mail

Real or Fake? Trying to Replace my iPhone Battery in Shenzhen, China

Real or Fake? Trying to Replace my iPhone Battery in Shenzhen, China
Anonim

Bug yang ditemukan di semua browser utama dapat mempermudah penjahat untuk mencuri kredensial perbankan online menggunakan jenis serangan baru yang disebut "phishing in-session", menurut para peneliti di vendor keamanan Trusteer.

Pemalsuan dalam-sesi (pdf) memberikan solusi kepada orang-orang jahat terhadap masalah terbesar yang dihadapi pelaku phishing hari ini: bagaimana menjangkau korban baru. Dalam serangan phishing tradisional, para scammers mengirimkan jutaan pesan e-mail palsu yang disamarkan agar terlihat seperti berasal dari perusahaan yang sah, seperti bank atau perusahaan pembayaran online.

Pesan-pesan itu sering diblokir oleh perangkat lunak pemfilteran spam, tetapi dengan phishing di dalam sesi, pesan e-mail diambil dari persamaan, diganti dengan jendela browser pop-up.

[Bacaan lebih lanjut: Bagaimana cara menghapus malware dari PC Windows Anda]

Begini cara serangan akan berfungsi: Orang-orang jahat akan meretas situs Web yang sah dan menanam kode HTML yang tampak seperti jendela peringatan keamanan pop-up. Pop-up kemudian akan meminta korban untuk memasukkan kata sandi dan informasi login, dan mungkin menjawab pertanyaan keamanan lainnya yang digunakan oleh bank untuk memverifikasi identitas pelanggan mereka.

Untuk penyerang, bagian yang sulit akan meyakinkan korban bahwa ini pop pemberitahuan -up adalah sah. Namun berkat bug yang ditemukan di mesin JavaScript dari semua browser yang paling banyak digunakan, ada cara untuk membuat jenis serangan ini tampak lebih dapat dipercaya, kata Amit Klein, kepala perwira teknologi Trusteer.

Dengan mempelajari cara browser menggunakan JavaScript, Klein mengatakan dia telah menemukan cara untuk mengidentifikasi apakah seseorang login ke situs Web, asalkan mereka menggunakan fungsi JavaScript tertentu. Klein tidak akan menyebutkan fungsinya karena itu akan memberi para penjahat cara untuk meluncurkan serangan, tetapi dia telah memberi tahu pembuat peramban dan mengharapkan bug pada akhirnya akan ditambal.

Sampai saat itu, penjahat yang menemukan cacat dapat menulis kode yang memeriksa apakah peselancar Web login, misalnya, daftar 100 situs perbankan yang telah ditentukan sebelumnya. "Daripada hanya memunculkan pesan phishing acak ini, penyerang bisa menjadi lebih canggih dengan menyelidik dan mencari tahu apakah pengguna saat ini masuk ke salah satu dari 100 situs web lembaga keuangan," katanya.

"Fakta bahwa Anda ' Saat ini di dalam sesi meminjam banyak kredibilitas ke pesan phishing, "tambahnya.

Peneliti keamanan telah mengembangkan cara lain untuk menentukan apakah seorang korban masuk ke situs tertentu, tetapi mereka tidak selalu dapat diandalkan. Klein mengatakan tekniknya tidak selalu berhasil tetapi dapat digunakan di banyak situs termasuk bank, pengecer online, game, dan situs jejaring sosial.