Browser-in-de-browser (BitB) is een nieuw type aanval dat kan worden gebruikt om een browservenster in de browser te simuleren om een legitiem domein te vervalsen. De techniek kan worden gebruikt om geloofwaardig te presteren phishing aanvallen.
Browser-in-the-Browser Phishing-techniek uitgelegd
Ontdekt door een penetratietester die bekend staat als mr. d0x, de techniek maakt gebruik van single sign-opties van derden die doorgaans zijn ingesloten op websites, zoals Aanmelden met Facebook of Google.
“Heel vaak wanneer we ons via Google authenticeren op een website, Microsoft, Apple etc. we krijgen een pop-upvenster waarin we worden gevraagd om te verifiëren," Dhr. d0x zei. De BitB-aanval is bedoeld om dit proces te repliceren door een combinatie van HTML- en CSS-code te gebruiken, een nep maar geloofwaardig browservenster maken. Hij combineerde het vensterontwerp met een iframe dat verwijst naar de kwaadaardige server die de kwaadaardige pagina host. Het resultaat is "in principe niet te onderscheiden".
“JavaScript kan eenvoudig worden gebruikt om het venster te laten verschijnen op een link of klik op een knop, op de pagina laden etc. En natuurlijk kunt u het venster op een visueel aantrekkelijke manier laten verschijnen door middel van animaties die beschikbaar zijn in bibliotheken zoals JQuery," hij voegde toe.
De onderzoeker heeft sjablonen gemaakt voor Windows en macOS voor de Chrome-browser in zowel de lichte als de donkere modus. Deze techniek verbetert aanzienlijk phishing-schema's, waardoor ze erg moeilijk te detecteren zijn. De beoogde gebruiker hoeft alleen maar op de gefabriceerde site te landen om het pop-upvenster weer te geven om zijn inloggegevens te onthullen.
Leer meer over de techniek van het origineel technisch artikel.
Vorig jaar, phishing-operators hebben een specifieke verduisteringstechniek gemaakt die gebruikmaakt van Morsecode om kwaadaardige URL's te verbergen in een e-mailbijlage. Dit is misschien het eerste geval van dreigingsactoren die morsecode op een dergelijke manier gebruiken.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: