Ta luka w przeglądarce Chrome na Androida umożliwia atakującym phishing na oszukiwanie użytkowników za pomocą fałszywego paska adresu (07.07.24)

W świecie przeglądarek Google Chrome jest na szczycie – i nie bez powodu. Poza tym, że jest łatwy w użyciu, Google Chrome ma dobrze prosperujący ekosystem rozszerzeń, solidny zestaw funkcji i ma wersje dla prawie wszystkich głównych platform. Ponieważ Chrome jest najpopularniejszą przeglądarką, niektórzy nikczemni programiści mogą postrzegać ją jako sposób na uzyskanie poufnych informacji od niczego niepodejrzewających użytkowników.

Spójrzmy prawdzie w oczy. Większość ludzi prawie nie sprawdza paska adresu w przeglądarce pod kątem jego autentyczności. Co gorsza, Chrome na Androida ukrywa pasek adresu po załadowaniu strony. Jeśli więc nie zwracasz uwagi podczas przeglądania na telefonie, uważaj na fałszywy pasek adresu na Androidzie.

Według analityka bezpieczeństwa Jamesa Fishera, w Google Chrome występuje luka, która może pozwolić na atak phishingowy zainstalować fałszywy pasek adresu w Chrome na Androida i ukryć prawdziwy.

Sztuczka fałszywego paska adresu na Androidzie została odsłonięta

Fisher pokazał na swoim blogu, w jaki sposób cyberprzestępcy mogą sprawić, że treść będzie wyglądać tak, jakby była umieszczona na stronie renomowanej organizacji HSBC.

Hakerzy phishingowi sprawdziliby czujność potencjalnych ofiar za pomocą fałszywego pasek adresu w Chrome na Androida. Aby ten exploit odniósł sukces, osoba atakująca polega na tym, że użytkownicy nie zwracają uwagi po przewinięciu w dół. Zwykle po przewinięciu w dół w Chrome na Androida najwyższa sekcja, która zawiera przycisk kart i pasek adresu, przesuwa się w górę, aby zapewnić więcej miejsca na stronę.

Pasek początkowy, jak nazywa Fisher może to również uniemożliwić wyświetlanie prawdziwego paska adresu podczas przewijania w górę. Fisher podkreślił, że jeśli powyższa sztuczka nie oszuka użytkowników, osoba atakująca phishing może użyć elementu dopełniającego, który uniemożliwia Chrome na Androidzie wyświetlanie paska adresu podczas przewijania przez użytkowników. Zwykle, gdy użytkownik przewinie w górę, Chrome na Androida ponownie wyświetli prawdziwy pasek adresu.

Fisher odkrył, że jeśli Chrome nie wyświetla prawdziwego paska adresu, osoba atakująca phishing może łatwo przenieść całą zawartość strony do więzienia z przewijaniem. Wynikiem tego exploita jest strona internetowa na stronie internetowej. Ponieważ strona internetowa zawiera własny pasek przewijania, użytkownicy mogą być oszukiwani, by myśleli, że przewijają stronę w górę, podczas gdy w rzeczywistości przewijają w górę więzienie przewijania.

Być może bardziej niepokojąca implikacja fałszywa sztuczka z paskiem adresu w systemie Android polega na tym, że użytkownicy nie mogą łatwo opuścić strony internetowej bez dostępu do paska adresu.

Do tej pory nie zgłoszono przypadków utraty przez użytkowników poufnych informacji na rzecz cyberprzestępców za pomocą tego bar-phishingu sztuczka, ale teraz, gdy Fisher zgłosił exploita, ci atakujący mogą go użyć do przeprowadzenia kampanii phishingowych na dużą skalę.

Jak rozpoznać fałszywy pasek adresu w Chrome na Androida?

W oczekiwaniu na wydanie przez Google aktualizacji, która zapobiega takim przejęciom przeglądarki, zasugerowaliśmy kilka strategii, które pomogą Ci wykryć fałszywy pasek adresu:

  • Jeden z najskuteczniejszych sposobów wykrywania fałszywy pasek adresu w Chrome na Androida to zablokowanie smartfona, a następnie odblokowanie go. W ten sposób Twoja przeglądarka zostanie zmuszona do wyświetlenia swojego prawdziwego paska adresu. A jeśli spotkasz się z atakiem phishingowym, zauważysz fałszywy pasek adresu poniżej prawdziwego. Możesz wyświetlić te paski adresu, nawet jeśli przewinąłeś w dół.
  • Kolejną sztuczką, której możesz użyć, aby odkryć sztuczkę z fałszywym paskiem adresu na Androidzie, jest uważne obserwowanie liczby wyświetlanej na ikonie kart podczas używania wiele kart. Tutaj fałszywy pasek adresu wyświetli nieprawidłową liczbę.
  • Dzięki nowemu trybowi ciemnemu w Chrome na Androida można teraz łatwo wykryć fałszywy pasek adresu. Gdy ta funkcja jest aktywna, prawdziwy pasek adresu i wszystkie elementy interfejsu użytkownika staną się czarne, podczas gdy fałszywy pozostanie biały, co ułatwi odróżnienie prawidłowego paska adresu od fałszywego.
Bądź bezpieczny.

Oprócz powyższych wskazówek ważne jest również zabezpieczenie telefonu przed złośliwymi atakami. Użyj niezawodnej aplikacji wspomagającej, aby usunąć śmieci i zoptymalizować swój telefon pod kątem najwyższej wydajności. Narzędzie do czyszczenia Androida dba o pamięć, wydajność, bezpieczeństwo i żywotność baterii telefonu. Użyj tej aplikacji, aby chronić poufne informacje podczas przeglądania w telefonie za pomocą publicznej sieci Wi-Fi.

Należy zauważyć, że exploit jest na razie tylko dowodem koncepcji. Pamiętaj jednak, że nic nie powstrzymuje osób atakujących phishing przed wykorzystaniem takich wektorów do zbierania informacji od niczego niepodejrzewających użytkowników.

Nie tak dawno Fisher zgłosił problem z zasadami Google dotyczącymi adresów Gmail. Zasada „kropki nie mają znaczenia” stanowi lukę, którą oszuści mogą wykorzystać do utworzenia kilku kont Gmail za pomocą dodatkowych kropek. Chociaż Google nie rozróżnia kropek w adresach e-mail, inne usługi online je rozpoznają. Z powodu tej luki oszuści oszukali kilku właścicieli kont Netflix.

Ostateczne przemyślenia

Google nie wydało jeszcze oficjalnej odpowiedzi na sztuczkę z fałszywym paskiem adresu w systemie Android, więc nie ma informacji, kiedy luka zostanie naprawiona . Niemniej jednak powyższe wskazówki powinny pomóc w wykryciu fałszywego paska adresu w przeglądarce Chrome na Androida i uchronieniu telefonu przed złośliwymi atakami. W każdym razie opłaca się chronić się przed wszelkimi formami ataków phishingowych. Powinieneś być bardziej ostrożny, gdy przeglądasz sieć za pomocą przeglądarki Chrome na Androida. Zajrzyj ponownie na ten blog, aby dowiedzieć się więcej o tym, jak chronić i optymalizować telefon pod kątem najwyższej wydajności.

Wideo YouTube.: Ta luka w przeglądarce Chrome na Androida umożliwia atakującym phishing na oszukiwanie użytkowników za pomocą fałszywego paska adresu

07, 2024