Vytočte r pre keyjacking: beží malware s captcha

Hovoríme veľa o exotických útokoch škodlivého softvéru a nejasných bezpečnostných chybách tu na SecurityWatch, ale útok môže využiť niečo také základné, ako sa objavujú okná na obrazovke. Jeden vedec demonštroval techniku, pomocou ktorej sú obete oklamané do spustenia škodlivého softvéru iba stlačením písmena „r“.

Koncom minulého mesiaca výskumník Rosario Valotta napísal príspevok na svoju webovú stránku, kde načrtol útok postavený na „zneužívaní používateľských rozhraní prehliadača“. Táto technika využíva niektoré vtipky vo webových prehliadačoch, s iba časťou sociálneho inžinierstva hodenou dovnútra.

Útok

Hovorí sa tomu „keyjacking“, ktorý nasleduje po technike clickjackingu, pri ktorej sú obete podvedené tak, že kliknú na objekt, ktorý generuje neočakávané reakcie. V príklade Valotty navštívite škodlivé stránky a začne sa automatické sťahovanie. V prehliadači Internet Explorer 9 alebo 10 pre Windows 7 sa spustí až príliš známe dialógové okno s možnosťami spustenia, uloženia alebo zrušenia.

Tu prichádza trik: útočník nastaví web tak, aby skryl potvrdzovacie okno za webovou stránkou, ale potvrdzovacie okno zostane v centre pozornosti. Táto webová stránka vyzve používateľa, aby stlačil písmeno „R“, napríklad pomocou captcha. Blikajúci kurzor gif na webovej stránke vedie používateľa k tomu, aby si myslel, že jeho stlačenia klávesov sa zobrazia v dialógovom okne falošných captcha, ale v skutočnosti sa odošlú do potvrdzovacieho okna, kde R je skratka pre Spustiť.

Útok sa dá použiť aj v systéme Windows 8, pričom aspekt sociálneho inžinierstva je upravený tak, aby nalákal obeť na zásah do systému TAB + R. Valotta preto navrhuje použiť testovaciu hru na zadanie textu.

Pre nás všetkých používateľov prehliadača Chrome, Valotta prišiel na ďalší trik, ktorý je v tradičnej clickjackingovej žile. V tomto scenári obeť klikne iba na to, aby zmizla na poslednú chvíľu a registrácia kliknutí v okne pod ňou.

„Otvoríte vyskakovacie okno na určitých konkrétnych súradniciach obrazovky a umiestnite ho pod okno v popredí, potom začne sťahovanie spustiteľného súboru, “ píše. Okno v popredí vyzve používateľa, aby klikol - možno zatvorí reklamu.

„Útočník pomocou niektorých JS je schopný sledovať súradnice ukazovateľa myši, keď sa kurzor myši dotkne tlačidla, útočník môže zatvoriť okno v popredí, “ pokračuje Valotta. „Ak je načasovanie vhodné, existuje veľká šanca, že obeť klikne na základnú lištu upozornení na popunder, takže skutočne spustí spustiteľný súbor.“

Najdesivejšou časťou tohto útoku je sociálne inžinierstvo. Valotta vo svojom blogovom príspevku poukazuje na to, že M. Zalewski a C.Jackson už skúmali pravdepodobnosť, že sa niekto stane hráčom klikania. Podľa Valotty to bolo úspešné viac ako 90 percent času.

Neprepadajte panike príliš veľa

Valotta pripúšťa, že v jeho pláne existuje niekoľko škytaviek. Pre jeden, Microsoft Smartscreen filter môže vylúčiť tieto druhy útokov, akonáhle sú hlásené. Ak skrytý spustiteľný súbor vyžaduje správcovské oprávnenie, funkcia Kontrola prístupu používateľa vygeneruje ďalšie upozornenie. Aplikácia Smartscreen samozrejme nie je spoľahlivá a Valotta rieši problém UAC tak, že sa pýta: „Naozaj potrebujete administratívne privilégiá, aby mohli poškodeným spôsobiť vážne škody?“

Ako vždy, najjednoduchší spôsob, ako sa vyhnúť útoku, je ísť na webovú stránku. Vyhnite sa ponukám na podivné stiahnutia a odkazy mimo ľudí. Pred zadaním textu si tiež všimnite, ktoré okná sú zvýraznené na obrazovke a kliknite na textové polia. Môžete tiež použiť zabudovanú podporu blokovania vyskakovacích okien prehliadačov.

Ak nič iné, tento prieskum pripomína, že nie všetky zraniteľné miesta sú nedbalý kód alebo exotický malware. Niektoré môžu byť skryté na miestach, ktoré neočakávame - napríklad telefóny VoIP - alebo môžu využiť skutočnosť, že počítače sú navrhnuté tak, aby dávali ľuďom pred nimi zmysel.