Розповідаємо про хитру схему крадіжки паролів (Атака “Браузер у браузері”) і про те, як не дати фішинговому сайту вас обдурити.
У гонитві за чужими логінами, паролями, секретними ключами та іншими цінними даними кіберзлочинці постійно винаходять нові способи обдурити користувачів. Втім, наскільки б хитромудрими ці схеми були, одне в них залишається незмінним: вони розраховані на користувача, що втратив пильність. Варто лише уважно придивитися до деяких деталей – насамперед до адреси сайту, де вам пропонують ввести логін та пароль, і фішингова схема вас не обдурить.
Принаймні так буває майже завжди. Але сьогодні ми розповімо про атаку, яка працює інакше — являючи погляду жертви ідеально правильну, безпечну адресу. Однак, давайте по порядку.
Чому в адресах фішингових сайтів друкарські помилки
Справа в тому, що доменна адреса – та, що ми бачимо в адресному рядку – унікальна і завжди «приписана» одному власнику. Щоб завести собі сайт, потрібно звернутися до спеціальної організації, яка реєструє доменні імена: там перевірять міжнародною базою, чи не зайнята адреса, яку ви обрали, і якщо вона вільна, запишуть її «за вами».
В результаті виходить, що зареєструвати підроблений сайт з адресою точнісінько як у сьогодення неможливо. Можна завести домен, дуже схожий на чужий — скажімо, у колумбійській зоні .co замість канадської .ca. Але якщо дивитися на адресу уважно, це все ж таки нескладно помітити.
Тому замість того, щоб реєструвати домени, особливо витончені запропонували намалювати правильну адресу прямо на своїй сторінці разом з вікном браузера!
Що таке атака “Браузер в браузері” (browser-in-the-browser)
Схему такої атаки, що отримала назву атака “Браузер у браузері”, описав дослідник безпеки і пентестер під ніком mr.d0x. Він звернув увагу на те, що сучасні засоби побудови веб-сторінки (інструменти HTML, CSS і JavaScript) дозволяють зобразити практично все що завгодно – від полів будь-яких кольорів і форм до анімації, що імітує елементи інтерфейсу, що рухаються. Отже, з їх допомогою можна намалювати і повноцінну чужу сторінку всередині своєї.
Для експерименту дослідник вибрав спливаючі вікна аутентифікації через сервіс. Ви, напевно, стикалися з ними: вони з’являються, коли замість реєстрації на якомусь сайті ви вибираєте щось на кшталт «Увійти через Google» або «Вхід з Apple» і таке інше. Це досить зручно – не потрібно вигадувати і запам’ятовувати новий пароль, чекати на посилання або коди підтвердження. При цьому така реєстрація досить безпечна — при її використанні відкривається сторінка сервісу, пароль від якого ви вводите, а сайт, на який ви таким чином входите, його не отримує навіть на якийсь час.
Приклад
Атака “Браузер у браузері”: цю технологію і беруть за основу. Розгортається атака приблизно так. Зловмисник реєструє сайт, за класикою фішингу підробляючи відомий майданчик. Як варіант — обираючи оригінальну адресу та потенційно цікавий жертвам контент (скажімо, товари за дуже привабливою ціною, вакансії для молодих мам чи новини, які так і хочеться прокоментувати). Купівлю, коментарі або інші цікаві для відвідувача функції злочинець робить доступними тільки для зареєстрованих користувачів. І додає кнопки для входу через відомий сервіс, паролі якого його цікавлять.
Якщо жертва натискає на цю кнопку, перед нею з’являється знайоме вікно входу, наприклад через Microsoft, Google або Apple, з правильною адресою, логотипом, полями для введення та всіма звичними елементами інтерфейсу. Вікно може навіть відображати правильні адреси при наведенні миші на кнопку «Увійти» і посилання «Забули пароль».
Підступ у тому, що насправді це не окреме вікно – вся ця пишність намальована прямо всередині тієї сторінки, яка намагається обдурити користувача. І якщо ввести тут логін і пароль, то вони вирушать не до Microsoft, Google або Apple, а прямо на сервер зловмисника. Як це може виглядати на практиці, можна подивитися тут (https://mrd0x.com/browser-in-the-browser-phishing-attack/).
Як зрозуміти, що вікно введення пароля підроблене
Хоча візуально шахрайське вікно аутентифікації нічим себе не видає, пізнати підробку все ж таки можна.
Справжні вікна автентифікації – це саме вікна браузера, і поводяться вони відповідно. Їх можна розгортати на повний екран, згортати та вільно переміщати по всьому екрану. Підроблені елементи інтерфейсу «належать» тій сторінці, де вони знаходяться. У її межах – тобто всередині вікна браузера – вони теж можуть вільно переміщатися і загороджувати собою кнопки та зображення, але “назовні” вибратися не можуть. Це допоможе їх розпізнати.
Щоб перевірити, чи не фейкова перед вами форма входу, можна спробувати зробити таке:
- Згорніть вікно браузера, поверх якого вона з’явилася. Справжнє вікно з формою аутентифікації має залишитися на екрані, якщо воно вікно, а не вкладка, — а саме це намагається імітувати даний метод.
- Поведіть вікном по екрану: пересуньте його на адресний рядок і вище – якщо вікно справжнє, воно перекриє верхнє обрамлення браузера.
Якщо вікно з формою автентифікації поводиться дивно — згортається разом з іншим вікном, зупиняється під адресним рядком або «повзає» під нього, воно несправжнє. І вводити у ньому свої облікові дані не можна.
Чи можна захиститись простіше?
Є й хороша новина. Хоча атаку browser-in-the-browser не так просто розпізнати людським поглядом, комп’ютер з її допомогою не обдуриш. Адже що б там не малював небезпечний сайт у собі, справжня адреса залишається однією і тією ж — а це саме те, що важливо для захисного рішення.
- Використовуйте менеджер паролів для всіх облікових записів. Він перевіряє справжню адресу сторінки і нізащо не введе ваші облікові дані в поля незнайомого сайту, хоч би як він був схожий на щось відоме.
- Встановіть надійне захисне рішення із модулем антифішингу. Він також перевіряє URL-адресу за вас і вчасно попередить, якщо сторінка небезпечна.
І, звичайно, не забувайте про двофакторну автентифікацію. Увімкніть її скрізь, де це можливо, у тому числі у всіх соцмережах. Тоді, навіть якщо зловмисники вкрадуть ваші облікові дані, вони не зможуть увійти до облікового запису без одноразового коду, який прийде не їм, а вам.
Для більш надійного захисту особливо цінних облікових записів краще використовувати апаратні токени U2F. Система перевіряє не лише адресу веб-ресурсу, а й знання ним ключа шифрування. Тому провести таку систему аутентифікації взагалі ніяк не вдасться, навіть якщо оригінальний сайт та його двійник на вигляд схожі на дві краплі води.