En af de mest udbredte måder, cyberkriminelle forsøger at stjæle dine data og personlige oplysninger på, er gennem phishing.
Men vi er blevet vant til phishing og ved generelt, hvad vi skal passe på. Det er her et Browser-in-the-Browser-angreb kommer ind. Så hvad er et Browser-in-the-Browser-angreb? Og hvordan kan du forsvare dig mod det?
Hvad er et Browser-i-Browser-angreb?
Et Browser-in-the-Browser-angreb (BiTB) simulerer et loginvindue med et forfalsket domæne i et overordnet browservindue for at stjæle legitimationsoplysninger. Denne phishing-teknik udnytter primært Single Sign-On-godkendelsesmodellen til at narre brugeren til at hoste følsomme oplysninger op, primært deres login-legitimationsoplysninger.
Hvad er Single Sign-On-godkendelse?
Når du tilmelder dig en ny tjeneste eller en ny hjemmeside, er der nogle gange mulighed for at tilmelde dig ved at forbinde din konto hos Google, Apple og andre tredjepartstjenester i stedet for manuelt at tilmelde sig med en e-mailadresse og adgangskode.
Dette gøres via Single-Sign-On-godkendelsessystemet. Integrationen af Single Sign-On, eller SSO, funktionalitet er næsten allestedsnærværende i webapps, og med god grund.
SSO letter hurtigere kontogodkendelse og oprettelse ved at bruge et enkelt sæt legitimationsoplysninger til alle tjenester og websteder. Du behøver ikke at vedligeholde separate sæt e-mails og adgangskoder for hvert websted, du skal logge ind på.
Login-processen er ligetil. Alt du skal gøre er at vælge den tredjepartstjeneste, du ønsker at logge ind med, og klikke på Tilmelde knap. Et nyt browservindue vil dukke op, hvor du logger ind med dine legitimationsoplysninger til den pågældende tredjepartstjeneste; for eksempel Google. Når login er vellykket, og legitimationsoplysningerne er bekræftet, oprettes din nye konto på webstedet.
Forfalsket Single Sign-On Authentication Window
Når brugere tilmelder sig et kompromitteret websted, får de en falsk pop-up, der imiterer udseendet og fornemmelsen af et ægte SSO-godkendelsesvindue. SSO-godkendelsessystemet har eksisteret længe nok til, at en gennemsnitlig bruger har vænnet sig til det, hvilket eliminerer mistanke.
Desuden er domænenavnet, grænsefladen og SSL-certifikatindikator kan forfalskes med et par linjer HTML og CSS for at efterligne et ægte login-promptvindue.
Offeret indtaster deres legitimationsoplysninger uden at slå et øje, og så snart de rammer Gå ind på deres tastatur giver de deres virtuelle liv og alt, der er forbundet med det, væk.
Sådan opsættes et browser-i-browserangreb
Da denne phishing-teknik drejer sig om SSO-godkendelse, er den første ting den cyberkriminelle har brug for at gøre er at konfigurere en svigagtig SSO-godkendelse på stedet, og derefter få målet til at lande på den ondsindede websted. Målet tilmelder sig med den falske SSO, og deres legitimationsoplysninger gemmes i angriberens database.
Selvom processen i teorien kan virke kompliceret, kan alle disse trin i virkeligheden nemt automatiseres via en phishing-ramme og websideskabeloner. Det har sikkerhedsforskere allerede offentliggjorte skabeloner der replikerer Google, Facebook og Apple login-sider, nøglen til et BiTB-angreb.
Sådan beskytter du dig selv mod browser-in-the-browserangreb
Et afslørende tegn på et falsk eller ondsindet websted eller et pop-up-vindue er dets URL. Undersøg omhyggeligt webadressen på et websted, før du indtaster noget følsomt på det. Oftere end ikke, en udløbet eller manglende SSL certifikat (angivet med et skåret hængelåsskilt) eller en lyssky URL bør være nok bevis til at drive enhver bruger væk fra webstedet. Alligevel bliver cyberkriminelle klogere og bedre til at dække over alt, der kan vække mistanke.
Mens kontrol af URL'en og SSL-certifikatet hjælper med at bekræfte ægtheden af et websted, er BiTB-angreb virkelig svære at opdage fra kun deres URL, da de er godt maskeret. Så du bør altid gå den ekstra mil til kontrollere, om et websted er sikkert fordi din sikkerhed altid er i højsædet.
Her er et par ting, du skal tjekke for at beskytte dig selv mod Browser-in-the-Browser-angreb:
- Tjek, om login-pop-up'et er sandboxed i browseren. Et svigagtigt loginvindue er faktisk ikke et rigtigt browservindue; det er snarere en simulering konstrueret med HTML og CSS, så i det øjeblik du trækker det ud af browserens skærmrum, burde dataene forsvinde. Hvis du slet ikke kan trække login-vinduet ud af hovedbrowservinduet, er det også en giveaway, at du er på et ondsindet websted.
- Brug adgangskodeadministratorer. Da phishing-vinduet ikke er et rigtigt browservindue, vil det ikke blive opdaget af nogen adgangskodeadministrator med autofuldførelse slået til. Dette antyder tilstedeværelsen af underliggende ondsindet hensigt og hjælper dig med at skelne mellem en falsk pop-up og en ægte. Du bør helt sikkert tjekke ud bedste adgangskodeadministratorer til dine enheder.
- Som en tommelfingerregel, klik ikke på et link videresendt til dig. Og undgå at indtaste legitimationsoplysninger på lyssky websteder. Dette er grundreglen for at forsvare dig selv mod ikke kun et specifikt phishing-angreb, men alle slags angreb og teknikker. Pas på, hvem du stoler på.
- Brug sikkerhedsfokuserede browserudvidelser. Disse bør advare dig, når der er en overhængende trussel. For at opdage skadelige iframe-indlejringer kan du f.eks installere en udvidelse der registrerer og beskytter dig mod potentielle BiTB-angreb.
Surf sikkert på internettet
Internettet kan være et skræmmende sted. Selvom cyberkriminalitet er et uendeligt dilemma, behøver du ikke at blive skræmt af det, hvis du opretter de rigtige sikkerhedsforanstaltninger, har forstand på dig og følger alle de generelle bedste praksisser. Det er vigtigt, at du altid er på vagt; at kende de seneste svindel- og hackingteknikker betyder i det mindste, at du er på forkant med spillet.
