Quay số r cho một keyjacking: chạy phần mềm độc hại với captcha

Chúng tôi nói rất nhiều về các cuộc tấn công phần mềm độc hại kỳ lạ và các lỗ hổng bảo mật tối nghĩa ở đây trên SecurityWatch, nhưng một cuộc tấn công có thể tận dụng một cái gì đó cơ bản như cách các cửa sổ xuất hiện trên màn hình của bạn. Một nhà nghiên cứu đã chứng minh một kỹ thuật trong đó các nạn nhân bị lừa chạy phần mềm độc hại chỉ bằng cách nhấn chữ "r".

Cuối tháng trước, nhà nghiên cứu Rosario Valotta đã viết một bài đăng trên trang web của mình, nơi ông đã phác thảo một cuộc tấn công được xây dựng xung quanh "lạm dụng giao diện người dùng trình duyệt". Kỹ thuật này sử dụng một số quirks trong trình duyệt web, chỉ với một chút kỹ thuật xã hội được đưa vào.

Cuộc tấn công

Nó được gọi là "keyjacking", sau kỹ thuật clickjacking nơi nạn nhân bị lừa nhấp vào một đối tượng tạo ra phản hồi không mong muốn. Trong ví dụ của Valotta, bạn truy cập một trang web độc hại và bắt đầu tải xuống tự động. Trong Internet Explorer 9 hoặc 10 cho Windows 7, điều này sẽ kích hoạt cửa sổ hộp thoại quá quen thuộc với các tùy chọn Chạy, Lưu hoặc Hủy.

Đây là một mẹo nhỏ: kẻ tấn công đặt trang web để ẩn cửa sổ xác nhận phía sau trang web, nhưng giữ cho cửa sổ xác nhận được tập trung. Trang web nhắc người dùng nhấn chữ "R", có lẽ bằng cách sử dụng captcha. Một gif con trỏ nhấp nháy trên trang web khiến người dùng nghĩ rằng tổ hợp phím của mình sẽ xuất hiện trong hộp thoại captcha giả, nhưng thực tế nó được gửi đến cửa sổ xác nhận trong đó R là phím tắt cho Run.

Cuộc tấn công cũng có thể được sử dụng trong Windows 8, với khía cạnh kỹ thuật xã hội được sửa đổi để lôi kéo nạn nhân đánh TAB + R. Đối với điều này, Valotta đề nghị sử dụng một trò chơi thử nghiệm đánh máy.

Đối với tất cả người dùng Chrome của chúng tôi ngoài kia, Valotta đã tìm ra một mẹo khác trong tĩnh mạch nhấp chuột truyền thống. Trong trường hợp này, nạn nhân sẽ nhấp vào một cái gì đó chỉ để nó biến mất vào giây cuối cùng và đăng ký nhấp chuột trên một cửa sổ bên dưới.

"Bạn mở một cửa sổ popunder tại một số tọa độ màn hình cụ thể và đặt nó dưới cửa sổ nền trước, sau đó bắt đầu tải xuống một tệp thực thi", ông viết. Một cửa sổ ở nền trước sẽ nhắc người dùng nhấp vào có lẽ để đóng một quảng cáo.

"Kẻ tấn công, sử dụng một số JS, có thể theo dõi tọa độ con trỏ chuột, vì vậy ngay khi con chuột lơ lửng trên nút, kẻ tấn công có thể đóng cửa sổ tiền cảnh, " Valotta tiếp tục. "Nếu thời điểm thích hợp, có nhiều khả năng nạn nhân sẽ nhấp vào thanh thông báo popunder cơ bản, vì vậy thực sự tự khởi chạy tệp thực thi."

Phần đáng sợ nhất của cuộc tấn công này là kỹ thuật xã hội. Trong bài đăng trên blog của mình, Valotta chỉ ra rằng M.Zalewski và C.Jackson đã nghiên cứu khả năng một người rơi vào trạng thái nhấp chuột. Theo Valotta, nó đã thành công hơn 90%.

Đừng hoảng sợ quá nhiều

Valotta thừa nhận rằng có một vài trục trặc trong kế hoạch của mình. Đối với một, bộ lọc Smartscreen của Microsoft có thể loại bỏ các loại tấn công này một khi chúng được báo cáo. Nếu tệp thực thi ẩn yêu cầu quyền riêng tư của quản trị viên, thì Kiểm soát truy cập người dùng sẽ tạo một cảnh báo khác. Tất nhiên, Smartscreen không thể đánh lừa được và Valotta giải quyết vấn đề UAC bằng cách hỏi, "bạn có thực sự cần các đặc quyền hành chính để gây ra thiệt hại nghiêm trọng cho nạn nhân của mình không?"

Như mọi khi, cách dễ nhất để tránh cuộc tấn công là không truy cập trang web. Tránh cung cấp cho tải xuống lạ và liên kết ngoài luồng từ mọi người. Ngoài ra, hãy lưu ý cửa sổ nào được tô sáng trên màn hình của bạn và nhấp vào trường văn bản trước khi nhập. Bạn cũng có thể sử dụng hỗ trợ chặn cửa sổ bật lên / popunder tích hợp của trình duyệt.

Nếu không có gì khác, nghiên cứu này là một lời nhắc nhở rằng không phải tất cả các lỗ hổng đều là mã cẩu thả hoặc phần mềm độc hại kỳ lạ. Một số có thể được ẩn ở những nơi chúng ta không mong đợi, như điện thoại VoIP, hoặc tận dụng thực tế là máy tính được thiết kế để có ý nghĩa với con người trước mặt chúng.