Atak prawie nie do wykrycia

Firma Netcraft informuje o odkryciu wyjątkowo niebezpiecznej metody phishingu.

Przypomnijmy, że terminem phishing określamy ataki, których celem jest wyłudzenie danych. Bardzo często phisherzy próbują w ten sposób zdobyć informacje konieczne do skorzystania z kont bankowości elektronicznej swoich ofiar. Nowa technika jest trudna do wykrycia i przez to bardzo niebezpieczna.

Reklama

Podczas wspomnianego ataku cyberprzestępcy skierowali się przeciwko klientom Banca Fideuram. Początek wyglądał dość typowo: do klientów wysłano autentycznie wyglądające maile, których autorzy podszywali się pod wspomnianą firmę. Dzięki nim zachęcali użytkowników do zalogowania się na swoje konto. W e-mailu umieszczano odnośnik do strony, na której należy się zalogować.

I tutaj kończą się podobieństwa. Zwykle bowiem w takich przypadkach odnośnik prowadzi na fałszywy serwer, który wyświetla witrynę do złudzenia przypominającą stronę, na której zwykle użytkownik się loguje i dochodzi do kradzieży haseł.

Tym razem było inaczej. Cyberprzestępcy użyli... prawdziwego certyfikatu SSL atakowanego banku. Pomimo niego atakującym udało się załadować na witrynę banku własny formularz, w którym następuje logowanie. Cała wyświetlana witryna jest więc autentyczna, z wyjątkiem hostowanego na tajwańskim serwerze formularza.

Dowodzi to, jak poważne konsekwencje mogą mieć błędy typu XSS (cross-site scripting) występujące na stronach banków. Przykład ten pokazuje, że bezpieczeństwo nie może być zagwarantowane tylko przez fakt wyświetlenia się symbolu kłódki i nagłówka HTTPS: w pasku adresu czy też przez upewnienie się, że znajduje się tam właściwy adres - mówi Paul Mutton z Netcrafta.

Informuje on, że podczas ataku wykorzystano nie tylko popularną lukę IFRAME, ale również błędy w parametrze GET. Ponadto cyberprzestępcy wykorzystali kilka dodatkowych technik, które uczyniły atak bardzo trudnym do wykrycia nawet przez filtry zabezpieczające.

Mariusz Błoński

kopalniawiedzy.pl

Reklama

Najlepsze tematy

Reklama

Strona główna INTERIA.PL

Polecamy

Rekomendacje