{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"Attacco ai componenti del browser con gestori di password, utilizzando il clickjacking","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Alla conferenza DEF CON 33 \u00e8 stato presentato un metodo di attacco agli addon del browser che inseriscono i propri elementi dell'interfaccia nella pagina visualizzata. L'applicazione dell'attacco agli addon con gestori di password pu\u00f2 portare a una fuga di informazioni memorizzate, come dati di autenticazione, dettagli delle carte di credito, informazioni personali e password usa e getta per l'autenticazione a due fattori. Il problema coinvolge tutti i gestori di password testati, tra cui 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass e Keeper. <\/p>\n
Il metodo di attacco si basa sul fatto che gli addon del browser inseriscono una finestra di dialogo per la richiesta di autocompletamento della password direttamente nella pagina visualizzata, integrando i propri elementi nel DOM (Document Object Model) di tale pagina. Se l'attaccante ha la possibilit\u00e0 di eseguire il proprio codice JavaScript sulla pagina, ad esempio sfruttando una vulnerabilit\u00e0 XSS sul sito, pu\u00f2 manipolare tutti gli elementi nel DOM, compresi quelli forniti dagli addon del browser. <\/p>\n
Tra l'altro, \u00e8 possibile rendere il dialogo di conferma trasparente e sovrapporre il pulsante in questo dialogo con il pulsante di un dialogo fittizio creato dall'attaccante, che spinge l'utente a cliccare. Questi dialoghi ingannevoli possono includere richieste fittizie di autorizzazione per gestire i Cookie, banner pubblicitari o moduli con CAPTCHA. Posizionando il dialogo fittizio sotto il dialogo trasparente del gestore delle password e allineando le posizioni dei pulsanti sullo schermo, \u00e8 possibile far s\u00ec che il clic dell'utente si traduca in un clic sul pulsante di conferma per il completamento dei parametri di autenticazione nel dialogo del gestore delle password, anche se l'utente crede di aver cliccato, ad esempio, sul pulsante di chiusura della finestra pubblicitaria.
<\/center> <\/p>\n
L'attacco consiste nei seguenti passaggi: <\/p>\n
\n
Creazione di un elemento invadente sulla pagina, che incoraggia a cliccare.\n
Aggiunta di un modulo web per il login o la compilazione di dati personali.\n
Impostazione della trasparenza per il modulo web («opacity: 0.001» in CSS).\n
Utilizzo del metodo focus() per posizionare il cursore nel campo di input di un modulo, attivando il dialogo di autocompletamento del gestore di password.\n
Ricerca del dialogo del gestore di password apparso nel DOM e impostazione della sua trasparenza.\n
Attesa di un clic dell'utente su un elemento visibile e invadente sulla pagina, che, con la corretta sovrapposizione di elementi visibili e invisibili, porter\u00e0 a una pressione del pulsante nel dialogo trasparente e alla compilazione dei campi da parte del gestore di password.\n
Estrazione dei dati dal modulo web compilato e invio a un server di attacco. <\/ul>\n
Poich\u00e9 l'autocompletamento dei parametri di autenticazione nel gestore di password si attiva solo per i siti dove tali parametri sono stati salvati, per organizzare un attacco \u00e8 necessario poter eseguire il proprio codice JavaScript sul sito attaccato o su un sottodominio. Pertanto, per attaccare \u00e8 necessario ottenere un sottodominio nello stesso dominio del sito attaccato, o trovare una vulnerabilit\u00e0 XSS sul sito che consenta di inserire il proprio codice nel contenuto restituito all'utente. <\/p>\n
Si segnala che molti utenti utilizzano un unico gestore di password sia per memorizzare le credenziali di accesso sia per generare codici temporanei per l'autenticazione a due fattori, il che consente di sfruttare il metodo di attacco esaminato durante il riempimento automatico dei codici temporanei. Come esempio, \u00e8 stata dimostrata un'attacco al sito issuetracker.google.com, che presenta una vulnerabilit\u00e0 XSS. Per ottenere le credenziali di accesso e il codice per l'autenticazione a due fattori, \u00e8 sufficiente inviare all'utente un link che sfrutti la vulnerabilit\u00e0 XSS, convincendolo a cliccare tre volte tramite l'inserimento di richieste invasive fittizie (autorizzazione al trattamento dei cookie, autorizzazione alla personalizzazione e accettazione della politica sulla privacy).
![\"Attacco](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n