פישינג דרך ממשק דפדפן מדומה בחלון מוקפץ

פורסם מידע על שיטת פישינג המאפשרת למשתמש ליצור אשליה של עבודה עם צורה לגיטימית של אימות על ידי יצירה מחדש של ממשק הדפדפן באזור המוצג על גבי החלון הנוכחי באמצעות iframe. אם תוקפים קודמים ניסו להונות את המשתמש על ידי רישום דומיינים עם איות דומים או מניפולציה של פרמטרים ב-URL, אז באמצעות השיטה המוצעת באמצעות HTML ו-CSS, אלמנטים מצוירים בראש החלון המוקפץ המשכפלים את ממשק הדפדפן, כולל כותרת עם לחצני שליטה בחלון ושורת כתובת , הכוללת כתובת שאינה הכתובת בפועל של התוכן.

בהתחשב בכך שאתרים רבים משתמשים בטפסי אימות באמצעות שירותי צד שלישי התומכים בפרוטוקול OAuth, וטפסים אלו מוצגים בחלון נפרד, יצירת ממשק דפדפן פיקטיבי עלולה להטעות אפילו משתמש מנוסה וקשוב. השיטה המוצעת, למשל, יכולה לשמש באתרים פרוצים או לא ראויים לאיסוף נתוני סיסמאות משתמש.

חוקר שהסב את תשומת הלב לבעיה פרסם קבוצה מוכנה של פריסות המדמות את ממשק Chrome בעיצובים כהים ובהירים עבור macOS ו-Windows. חלון מוקפץ נוצר באמצעות iframe המוצג על גבי התוכן. כדי להוסיף ריאליזם, JavaScript משמש לאגד מטפלים המאפשרים לך להזיז את חלון הדמה וללחוץ על לחצני בקרת החלון.

מקור: OpenNet.ru