Các thành phần

Lỗi trình duyệt có thể cho phép lừa đảo mà không có email

Mã Khả: Thể Hiện Ca Khúc Niên Luân ( Thịnh Điển Quốc Kịch 2016 )- VietSub.

Mã Khả: Thể Hiện Ca Khúc Niên Luân ( Thịnh Điển Quốc Kịch 2016 )- VietSub.
Anonim

Lừa đảo trong phiên (pdf) cung cấp cho những kẻ xấu một giải pháp cho vấn đề lớn nhất đối mặt với những kẻ lừa đảo những ngày này: cách tiếp cận nạn nhân mới. Trong một cuộc tấn công lừa đảo truyền thống, những kẻ lừa đảo gửi hàng triệu thông điệp email điện thoại được cải trang để trông giống như họ đến từ các công ty hợp pháp, chẳng hạn như ngân hàng hoặc công ty thanh toán trực tuyến. với lừa đảo trong phiên, thông báo email được lấy ra khỏi phương trình, được thay thế bằng cửa sổ trình duyệt bật lên.

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows của bạn]

Đây là cách tấn công sẽ hoạt động: Những kẻ xấu sẽ tấn công một trang web hợp pháp và tạo mã HTML trông giống như một cửa sổ cảnh báo bảo mật bật lên. Cửa sổ pop-up sau đó sẽ yêu cầu nạn nhân nhập mật khẩu và thông tin đăng nhập, và có thể trả lời các câu hỏi bảo mật khác được sử dụng bởi các ngân hàng để xác minh danh tính của khách hàng.

Đối với kẻ tấn công, phần cứng sẽ thuyết phục các nạn nhân -up thông báo là hợp pháp. Nhưng nhờ một lỗi tìm thấy trong các công cụ JavaScript của tất cả các trình duyệt được sử dụng rộng rãi nhất, có một cách để làm cho kiểu tấn công này có vẻ đáng tin cậy hơn, Amit Klein, giám đốc công nghệ của Trusterer, nói. sử dụng JavaScript, Klein cho biết ông đã tìm thấy một cách để xác định có hay không ai đó đăng nhập vào một trang web, miễn là họ sử dụng một hàm JavaScript nào đó. Klein sẽ không đặt tên cho chức năng này vì nó sẽ cho bọn tội phạm một cách để khởi động cuộc tấn công, nhưng anh ta đã thông báo cho các nhà sản xuất trình duyệt và hy vọng lỗi này sẽ bị vá.

Cho đến lúc đó, bọn tội phạm khám phá lỗ hổng có thể viết mã để kiểm tra cho dù người lướt web có đăng nhập vào, ví dụ, một danh sách được xác định trước của 100 trang web ngân hàng. "Thay vì chỉ xuất hiện thông điệp lừa đảo ngẫu nhiên này, kẻ tấn công có thể tinh vi hơn bằng cách thăm dò và tìm hiểu xem liệu người dùng hiện có đăng nhập vào một trong 100 trang web của tổ chức tài chính hay không". "Các nhà nghiên cứu bảo mật đã phát triển các cách khác để xác định xem nạn nhân có đăng nhập vào một trang web nhất định hay không, nhưng chúng không phải lúc nào cũng đáng tin cậy. Klein cho biết kỹ thuật của mình không phải lúc nào cũng hoạt động nhưng nó có thể được sử dụng trên nhiều trang web bao gồm các ngân hàng, các nhà bán lẻ trực tuyến, các trang web chơi game và mạng xã hội.