202 прегледа
Изследователят по сигурността mr.d0x, известен с метода на атака браузър в браузъра (BitB) – демонстриран по-рано тази година, сега демонстрира нова техника за фишинг атака в режим на приложение в уеб браузъри, базирани на Chromium.
С този режим може да се злоупотребява, за да се създадат „истински фишинг приложения за компютър„. Режимът на приложение стартира уебсайт в отделен прозорец на браузъра, като показва иконата на уебсайта и скрива адресната лента.
Според mr.d0x атакуващият може да покаже фалшива адресна лента в горната част на прозореца и да подмами потребителите да въведат информацията си във фалшиви формуляри за влизане.
Въпреки че тази техника е по-скоро за вътрешен фишинг, технически можете да я използвате в сценарий за външен фишинг, казва mr.d0x. Можете да доставите тези фалшиви приложения независимо като файлове.
Фишинг сайтът, контролиран от атакуващия, може да затвори прозореца веднага след като потребителят въведе идентификационните данни или да промени размера и позиционирането, за да постигне желания ефект.
В допълнение към Windows, механизмът за атака работи и на други операционни системи, като macOS и Linux, което го прави потенциална заплаха за различни платформи. Успехът на атаката обаче зависи от факта, че атакуващият вече има достъп до компютъра на целта.
За щастие, Google постепенно премахва поддръжката на приложенията на Chrome в полза на технологиите и уеб стандартите за прогресивни уеб приложения (PWA) и се очаква функцията да бъде напълно премахната в Chrome 109 или по-нова версия за Windows, macOS и Linux.
Google каза, че „функцията –app е остаряла преди публикуването на това изследване“ и че потенциалът ѝ за злоупотреба трябва да се разглежда в контекста на бъдещето ѝ.
