Атака «браузер-в-браузере» позволяет красть учётные данные ничего не подозревающих жертв

[Ippolitovich]

Специалист по ИБ-безопасности, известный под ником mr.dox, разместил на GitHub код фишингового инструмента, который позволяет осуществлять атаку типа «браузер-в-браузере». Он может использоваться для создания фальшивых окон в браузере Chrome с целью перехвата учётных данных от разных онлайн-ресурсов.

 

В настоящее время на многих веб-сайтах можно авторизоваться не только с помощью отдельных логина и пароля, но также посредством уже авторизованных аккаунтов в социальных сетях, а также Google, Microsoft и др. При атаке «браузер-в-браузере» при авторизации на каком-либо ресурсе перед пользователем появляется поддельное окно с формой ввода учётных данных. В нём отображается верный URL-адрес страницы, но отредактировать его нельзя, поскольку он предназначен для того, чтобы убедить жертву в легитимности страницы. Соответственно, после ввода учётных данных на такой фальшивой странице, конфиденциальная информация попадает в руки злоумышленников.

 

 

Отметим, что в прошлом хакеры неоднократно пытались создавать поддельные окна авторизации, но чаще всего их было достаточно легко отличить от легитимных. На этот раз злоумышленники могут создавать окна, практически не отличимые от настоящих. Для этого лишь потребуется отредактировать в опубликованных шаблонах URL-адрес, название окна, а также создать соответствующий iframe для вывода окна. HTML-код формы окна авторизации можно встроить в шаблон. По данным источника, методика подобных атак не является чем-то новым. В прошлом злоумышленники успешно использовали подобную тактику для создания фальшивых сайтов для геймеров с целью кражи реквизитов.