Tárcsázza r a keyjackinghez: rosszindulatú programok futtatása captcha-val

Sokat beszéltünk az egzotikus malware támadásokról és a homályos biztonsági résekről a SecurityWatch szolgáltatásban, ám a támadás kihasználhatja olyan alapvető előnyöket, mint amilyen az ablakok megjelenése a képernyőn. Az egyik kutató bebizonyította egy olyan módszert, amellyel az áldozatokat csak az "r" betű megnyomásával becsapják rosszindulatú programokba.

A múlt hónap végén Rosario Valotta kutató egy levelet írt a weboldalán, ahol felvázolta a "böngésző felhasználói felületeinek visszaélése" körüli támadást. A technika néhány böngészőt használ a webböngészőkben, csak egy darab szociális technológiát dobva.

A támadás

A kattintás-technikát követően "keyjacking" -nek hívják, ahol az áldozatokat becsapják egy váratlan válaszokat generáló tárgyra kattintással. Valotta példájában rosszindulatú webhelyet látogat meg, és megkezdődik az automatikus letöltés. Az Internet Explorer 9 vagy 10 operációs rendszerhez Windows 7 esetén ez egy teljesen ismerős párbeszédpanelt indít a Futtatás, Mentés vagy Mégse lehetőségekkel.

Itt jön a trükk: a támadó úgy állítja be a weboldalt, hogy elrejtse a megerősítési ablakot egy weboldal mögött, de a megerősítési ablakot fókuszban tartja. A webhely felszólítja a felhasználót, hogy nyomja meg az "R" betűt, esetleg captcha használatával. A villogó kurzor gif a webhelyen arra ösztönzi a felhasználót, hogy a billentyűleütései megjelennek a hamis captcha párbeszédpanelen, ám valójában a megerősítő ablakba küldik, ahol R a Futtatás parancsikája.

A támadás a Windows 8 rendszerben is használható, a szociáltechnikai szempontot úgy módosítva, hogy az áldozatot rávegyék a TAB + R ütésére. Ehhez Valotta javasolja egy gépelési teszt játék használatát.

Mindannyiunk számára, akik ott vannak a Chrome-felhasználók, a Valotta kitalált egy másik trükköt, amely a hagyományos clickjacking vonalakban rejlik. Ebben a forgatókönyvben az áldozat csak valamit kattint, hogy az utolsó pillanatban eltűnjön, és a kattintás regisztráljon egy ablak alatt.

"Megnyit egy popunder ablakot bizonyos képernyő koordinátákon, és az előtér ablak alá helyezi, majd elindítja a futtatható fájl letöltését" - írja. Az előtérben lévő ablak felszólítja a felhasználót a kattintásra - esetleg egy hirdetés bezárására.

"A támadó valamilyen JS használatával képes nyomon követni az egérmutatók koordinátáit, így amint az egér lebeg a gombra, a támadó bezárhatja az előtér ablakot" - folytatja Valotta. "Ha az időzítés megfelelő, akkor nagy a esélye, hogy az áldozat rákattint a mögöttes popunder értesítési sávra, tehát valójában önfuttatja a futtatható fájlt."

A támadás legfélelmetesebb része a szociális tervezés. Valotta blogbejegyzésében rámutat arra, hogy M.Zalewski és C.Jackson már megvizsgálta annak valószínűségét, hogy egy ember esni fog a kattintással. Valotta szerint az idő több mint 90 százaléka volt sikeres.

Ne pánikolj túl sokat

Valotta elismeri, hogy van néhány csuklás a tervében. Először is, a Microsoft Smartscreen szűrője elháríthatja az ilyen típusú támadásokat, miután bejelentették őket. Ha a rejtett végrehajtható fájl adminisztrátori jogokat igényel, akkor a User Access Control újabb figyelmeztetést generál. Természetesen a Smartscreen nem bolondbiztos, és Valotta azzal foglalkozik az UAC kérdésével, hogy "tényleg szüksége van-e adminisztratív kiváltságokra, hogy komoly károkat okozhassanak az áldozatoknak?"

Mint mindig, a támadás elkerülésének legegyszerűbb módja az, ha nem lépünk a weboldalra. Kerülje az emberek furcsa letöltéseinek és a kék háttér nélküli linkeknek a kínálatát. Ezenkívül vegye figyelembe, mely ablakokat jelöli ki a képernyőn, és gépelés előtt kattintson a szövegmezőkre. Használhatja a böngészők beépített felugró / popunder blokkoló támogatását is.

Ha semmi más, akkor ez a kutatás emlékeztet arra, hogy nem minden biztonsági rés van hanyag kód vagy egzotikus rosszindulatú program. Néhányan elrejthetők olyan helyeken, amire nem számítunk - mint például a VoIP telefonok -, vagy kihasználhatják azt a tényt, hogy a számítógépeket úgy fejlesztették, hogy értelme legyen az előttük lévő embereknek.