Бъг, открит във всички основни браузъри може да улесни престъпниците при кражбата на онлайн банкови акредитиви, използвайки нов тип атака, наречена “in-session phishing,” твърдят специалисти от фирмата за защитни продукти Trusteer.

„Сесийната измама” (In-session phishing) дава на зложелателите решение на най-големия проблем пред измамниците днес – как да стигнат до нови жертви. При традиционните фишинг атаки – fishing attacks измамниците изпращат милиони фалшиви електронни съобщения, маскирайки ги все едно идват от легални компании като банки или фирми за онлайн разплащания.
Тези съобщения често са блокирани от антиспам софтуера – anti spam software, докато при „сесийния” фишинг е-пощенското съобщение се изважда от уравнението, като се заменя с изскачащ прозорец на браузъра.

Ето как би трябвало да работи атаката. „Лошите” хакват легален Web сайт и скриват HTML код, който изглежда като изскачащ прозорец с предупреждение за сигурността. След това „pop-up” съобщението иска от жертвата да въведе данните за вход и паролата, като отговаря и на други защитни въпроси, използвани от банките за верифициране самоличността на техните потребители.

За атакуващите трудната част е да убедят жертвите, че изскачащото предупреждение е легитимно. Благодарение на бъг, открит в JavaScript машините на най-използваните браузъри обаче, има начин тези атаки да станат по-достоверни, заяви Амит Клейн, технологичен директор на Trusteer.

Проучвайки начина, по който браузърите използват JavaScript, Клейн твърди, че е намерил начин да идентифицира дали някой се е логнал в уеб сайта, използвайки специфична JavaScript функция. Клейн не споменава коя е тази фунцкия, тъй като би предоставил на престъпниците още едно средство за атака, но е предупредил създателите на браузъри и очаква скоро бъгът да бъде отстранен.

За повече информация посетете: Computerworld.bg

If you enjoyed this post, make sure you subscribe to my RSS feed!