BitB: kỹ thuật lừa đảo mới để khôi phục mật khẩu của bạn

Một nhà nghiên cứu đã đưa ra một kỹ thuật tạo ra các biểu mẫu đăng nhập bị tấn công và trở nên rất khó phát hiện.

Phishing hay lừa đảo trong tiếng Pháp gần như là một kỹ thuật của hacker lâu đời nhất trên thế giới, ở quy mô an ninh mạng. Không có gì ngạc nhiên khi thấy nó phát triển theo cách này. Ngoại trừ việc chúng ta có thể lo lắng về sự phát triển này, với sự xuất hiện của một kỹ thuật tương đối mới, có khả năng mắc bẫy một số lượng lớn người dùng, ngay cả những người có nhiều thông tin nhất.

Một kỹ thuật lừa đảo không thể phát hiện …

Bạn biết đấy, trang đăng nhập nổi tiếng xuất hiện trên trình duyệt của bạn ngày càng phổ biến hơn, cố gắng khiến bạn tin rằng bạn sẽ truy cập, chẳng hạn như Facebook, Outlook hoặc Google (hoặc tất cả các trang web sử dụng giao thức OAuth) và qua đó bạn phải nhập số nhận dạng của mình. Thông thường, chúng ta có thể, bằng cách loại trừ, đoán trang nào là hợp pháp và trang nào không. Cướp biển đặc biệt bị phản bội bởi URL không an toàn hoặc thuộc loại facebOOk .com hoặc g00gle .fr. Người dùng hơi chú ý, mà không được thông báo đặc biệt, có thể khám phá ra sự lừa dối.

Ngoại trừ việc một nhà nghiên cứu và phát triển an ninh mạng, người có biệt danh mrd0x, đã nhận ra rằng những biểu mẫu đăng nhập lừa đảo nổi tiếng này có thể, bằng cách sử dụng cửa sổ trình duyệt Chrome giả, giờ đây đáng tin hơn bao giờ hết.

Sau này thực sự đã phát triển một BitB, một cuộc tấn công “ Trình duyệt trong Trình duyệt tức là trình duyệt bên trong trình duyệt, một loại vực thẳm máy tính chỉ sử dụng mẫu tạo sẵn để tạo cửa sổ bật lên Chrome giả mạo thế giới của nó và có URL địa chỉ tùy chỉnh nhưng điều đó, thoạt nhìn, có vẻ hoàn toàn hợp pháp đối với chúng tôi.

… Hoặc gần như!

Nhà nghiên cứu đã xuất bản một bộ công cụ trên nền tảng GitHub cho phép bất kỳ ai cũng có thể dễ dàng thiết lập một cuộc tấn công kiểu BitB từ trình duyệt của công ty Mountain View, Google Chrome. Và nó hoạt động trên hầu hết các mạng xã hội lớn hoặc các ứng dụng SaaS nổi tiếng nhất.

Do đó, nếu cuộc tấn công không phải là chưa từng có về hình thức, bạn sẽ hiểu nó, trên hết là điều đáng ngạc nhiên, vì kẻ tấn công hiện có khả năng đánh lừa người dùng, ngay cả trong URL, bằng một kỹ thuật sử dụng các thủ thuật HTML khác nhau. và bảng định kiểu (CSS) giúp bắt chước rất thuyết phục cửa sổ được cho là sẽ mở, yêu cầu bạn đăng nhập vào mạng xã hội hoặc nền tảng. Ở đây không có vấn đề gì về việc đưa ra những ý tưởng xấu hay chuyển tiếp chúng, bởi vì kỹ thuật này đã được phát hiện trước đó, đặc biệt là vào năm 2020 khi tin tặc cố gắng đánh cắp số nhận dạng để truy cập vào nền tảng trò chơi điện tử Steam.

Và nếu bạn nghĩ rằng nó vô vọng, đừng vội rời đi, bởi vì phương pháp này, mặc dù – rất – thuyết phục, nhưng vẫn mắc phải một số sai sót nhỏ. Ví dụ: nếu các cửa sổ OAuth thực có thể được thay đổi kích thước hoặc di chuyển trên màn hình của bạn, vì chúng được coi là một phiên bản riêng biệt của trình duyệt và trang chính của nó, thì đây không phải là trường hợp của các cửa sổ BitB, không thể thay đổi kích thước, vì hình ảnh trong HTML và CSS. Giải pháp khác vẫn là sử dụng trình quản lý mật khẩu, trình quản lý mật khẩu này sẽ không điền vào số nhận dạng trên các biểu mẫu BitB, vì chúng là giả. Anh ấy sẽ không nhận ra chúng. Cuối cùng, để tránh mọi nguy hiểm, hãy sử dụng xác thực đa yếu tố bất cứ khi nào có thể.

Nguồn: mrd0x, Ars Technica