Ny webbläsare-i-webbläsaren (BITB)-attack gör nätfiske nästan omöjligt att upptäcka

En ny nätfisketeknik som kallas webbläsare-i-webbläsaren (BitB)-attack kan utnyttjas för att simulera ett webbläsarfönster i webbläsaren för att förfalska en legitim domän och därigenom göra det möjligt att iscensätta övertygande nätfiskeattacker.

Enligt penetrationstestare och säkerhetsforskare, som går efter handtaget mrd0x_, drar metoden fördel av tredjepartsalternativ för enkel inloggning (SSO) inbäddade på webbplatser som ”Logga in med Google” (eller Facebook, Apple eller Microsoft ).

Medan standardbeteendet när en användare försöker logga in via dessa metoder är att hälsas av ett popup-fönster för att slutföra autentiseringsprocessen, syftar BitB-attacken till att replikera hela denna process med en blandning av HTML- och CSS-kod för att skapa en helt tillverkat webbläsarfönster.

”Kombinera fönsterdesignen med en iframe som pekar på den skadliga servern som är värd för nätfiskesidan, och det går i princip inte att särskilja”, sa mrd0x_ i en teknisk skrivelse som publicerades förra veckan. ”JavaScript kan enkelt användas för att få fönstret att visas på en länk eller knappklick, på sidan som laddas etc.”

Även om den här metoden gör det avsevärt lättare att skapa effektiva sociala ingenjörskampanjer, är det värt att notera att potentiella offer måste omdirigeras till en nätfiske domän som kan visa ett sådant falskt autentiserings fönster för insamling av autentiserings uppgifter.

”Men när användaren väl har landat på den angriparägda webbplatsen kommer användaren att vara lugn när de skriver in sina referenser på vad som verkar vara den legitima webbplatsen (eftersom den pålitliga webbadressen säger det),” tillade mrd0x_.

Kontakta oss för att genomföra en säkerhetsutbildning med er personal.