Tietojenkalastelumenetelmästä on julkaistu tietoa, jonka avulla käyttäjä voi luoda illuusion laillisen todennusmuodon käyttämisestä luomalla selaimen käyttöliittymän uudelleen nykyisen ikkunan päällä olevalle alueelle iframe-kehyksen avulla. Jos aiemmat hyökkääjät yrittivät huijata käyttäjää rekisteröimällä verkkotunnuksia, joissa on samanlainen kirjoitusasu tai manipuloimalla parametreja URL-osoitteessa, ehdotetulla menetelmällä HTML- ja CSS-protokollalla ponnahdusikkunan yläosaan piirretään elementtejä, jotka kopioivat selaimen käyttöliittymän, mukaan lukien otsikko, jossa on ikkunan ohjauspainikkeita ja osoitepalkki , joka sisältää osoitteen, joka ei ole sisällön todellinen osoite.
Koska monet sivustot käyttävät todennuslomakkeita kolmannen osapuolen OAuth-protokollaa tukevien palveluiden kautta ja nämä lomakkeet näkyvät erillisessä ikkunassa, kuvitteellisen selainliittymän luominen voi johtaa harhaan kokeneen ja tarkkaavaisenkin käyttäjän. Ehdotettua menetelmää voidaan käyttää esimerkiksi hakkeroiduilla tai ansaitsemattomilla sivustoilla käyttäjien salasanatietojen keräämiseen.
Ongelmaan kiinnittänyt tutkija julkaisi valmiin asettelusarjan, joka simuloi Chrome-käyttöliittymää tummissa ja vaaleissa teemoissa macOS:lle ja Windowsille. Ponnahdusikkuna muodostetaan sisällön päällä näkyvän iframe-kehyksen avulla. Realismin lisäämiseksi JavaScriptiä käytetään käsittelijöiden sitomiseen, joiden avulla voit siirtää vale-ikkunaa ja napsauttaa ikkunan ohjauspainikkeita.
Lähde: opennet.ru