Ataque de navegador no navegador permite que credenciais sejam roubadas de vítimas inocentes

Um especialista em segurança da informação conhecido pelo apelido mr.dox postou no GitHub o código de uma ferramenta de phishing que permite um ataque browser-in-browser. Ele pode ser usado para criar janelas falsas no navegador Chrome para interceptar credenciais de vários recursos online.

Fonte da imagem: Markus Spiske / Pixabay

Atualmente, muitos sites podem ser logados não apenas usando um login e senha separados, mas também por meio de contas já autorizadas em redes sociais, bem como Google, Microsoft, etc. no recurso, uma janela falsa aparece na frente do usuário com um formulário para inserir credenciais. Ele exibe o URL correto da página, mas não pode ser editado, pois tem o objetivo de convencer a vítima de que a página é legítima. Assim, depois de inserir credenciais em uma página tão falsa, as informações confidenciais caem nas mãos dos invasores.

Observe que, no passado, os hackers tentaram repetidamente criar janelas de autorização falsas, mas na maioria das vezes elas eram fáceis de distinguir das legítimas. Desta vez, os invasores podem criar janelas que são quase indistinguíveis das reais. Para fazer isso, você só precisa editar a URL, o nome da janela nos modelos publicados e também criar o iframe apropriado para exibir a janela. O código HTML do formulário da janela de autorização pode ser incorporado ao modelo.

Fonte da imagem: CNews

Segundo a fonte, a técnica de tais ataques não é algo novo. No passado, os invasores usaram táticas semelhantes com sucesso para configurar sites falsos para os jogadores roubarem adereços.