Ataque de navegador en el navegador (BiTB) – Nueva Estrategia de Phishing

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Un investigador de seguridad ha ideado una nueva técnica de explotación del navegador que puede desencadenar ataques de phishing.
Apodado "navegador en el navegador" ("browser-in-the-browser") , este nuevo ataque crea ventanas de navegador que parecen legítimas para robar datos.

Compartiendo los detalles en una publicación, el investigador con el alias mr.d0x demostró el ataque.

La mayoría de los servicios como Google, Microsoft y más, utilizan la función de ventana emergente para mostrar las páginas de inicio de sesión.

Como estándar, los usuarios ingresan sus credenciales allí y las ventanas se cierran a medida que continúa el proceso de inicio de sesión.

Dado que dichas ventanas se abren por separado, la forma más confiable de verificar su autenticidad es observar la URL.

Lo anterior es lo que el investigador explotó mientras creaba ventanas de aspecto legítimo a través de HTML/CSS básico.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Como se indica en su publicación:

"Combiné el diseño de la ventana con un iframe que apunte al servidor malicioso que aloja la página de phishing, y es básicamente indistinguible... JavaScript se puede usar fácilmente para hacer que la ventana aparezca en un enlace o en un clic de botón, en la carga de la página, etc. Y, por supuesto, puede hacer que la ventana aparezca de una manera visualmente atractiva a través de animaciones disponibles en bibliotecas como JQuery."

Con JavaScript habilitado, incluso pasar el cursor sobre los enlaces no ayudaría a verificar la legitimidad de la URL.

Sin embargo, tales ataques pueden no ser completamente ejecutables desde el final de los atacantes, lo que requiere que primero aterricen en la ventana del navegador del usuario objetivo.

Sin embargo, una vez hecho esto, sería trivial para el atacante atraer a la víctima para que envíe las credenciales de inicio de sesión. De esta forma, este ataque puede convertirse en una poderosa técnica de phishing.

Fuente:
Latest Hacking News
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta