Il nuovo attacco che rende il phishing molto difficile da rilevare

Il phishing è una delle tecniche di truffa online più utilizzate sin dalla preistoria del web, cercando di far abboccare gli utenti meno esperti, ingannandoli così da recuperare credenziali di accesso, password, codici e altri dati sensibili. Nei primordi del cybercrimine, questi attacchi non erano così sofisticati perché di solito il linguaggio è assai maccheronico, le immagini sgranate e evidentemente manipolate e, soprattutto, l’indirizzo url era farlocco e in bella mostra. Ma oggi quei tempi sembrano molto lontani perché la nuova generazione di attacchi phishing sembra molto più temibile, rendendosi molto più complicata da rilevare anche a un occhio più eserto.

MR.DOX (fonte: Wired)

Il nuovo sistema adottato da malintenzionati è quello del cosiddetto browser-in-the-browser o bitb che, come suggerisce il nome, simula una finestra del browser che mostra un dominio legittimo così come una grafica e testi del tutto identici a quelli del portale originario. Come spiegato dal ricercatore di sicurezza mr.dOx, questa tecnica sfrutta la possibilità di accedere a siti tramite terze parti o third-party single sign-on (sso) come per esempio tramite utenza Google, Apple, ma anche Microsoft o Facebook. 



Questa pratica di login è ormai utilizzata da tantissimi utenti, che per comodità (e pigrizia) non prestano troppa attenzione alla finestra che si apre per dare il permesso di accesso al sito tramite le credenziali di grandi fornitori, limitandosi a un rapido sguardo alla grafica e alla url. L’attacco bitb replica in modo fedele il sign-in, miscelando sapientemente codice html e css, e “Combina il design della finestra con un iframe che punta al server malevolo che ospita la pagina di phishing - ha spiegato mr.dOx - rendendolo praticamente indistinguibile. JavaScript può essere facilmente utilizzato per far apparire la finestra su un collegamento o un clic su un pulsante, sul caricamento della pagina e così via”. 

Semplificando, funziona un po’ come le vecchie truffe ai bancomat con i malintenzionati che applicavano una sorta di fessura secondaria su quella legittima: anche qui c’è una maschera sviluppata ad hoc per apparire in sovraimpressione e trarre in inganno l’utente. Come fare per accorgersi di questo attacco così ben realizzato? Come nel caso di un bitb che aveva colpito Steam, serviva spostare la finestra con il mouse, così da accorgersi se sopra la finestra legittima in pop-up era presente la maschera malevola. Ecco la disamina tecnica completa di mr.dOx su questo attacco.
  • Condividi:

Altri articoli di Redazione TheLiquidJournal

Sconto in fattura ed Ecobonus, includeranno le PMI?

Con il Decreto Rilancio è stato introdotto l’Ecobonus 2020 con detrazione al 110%.

Chi è Charli D’Amelio, la prima influencer con 100 milioni di follower su Tiktok

In poco più di un anno di pubblicazioni su TikTok Charli D’Amelio è la prima creator a sfondare il muro dei 100milioni di follower. A soli 16 anni Charli ha creato un ecosistema mediatico che le frutta circa 4 milioni annui.

I server dell’aeroporto di Lamezia Terme usati per minare criptovalute

Un tecnico ha adoperato gli impianti dello scalo calabrese per estrarre Ethereum. Ora è indagato: ha messo a repentaglio la sicurezza informatica dell’aeroporto

Must Read

Ultimi articoli di Trend / Lifestyle

Coi Reels, Facebook ha lanciato l’ennesimo guanto di sfida a TikTok

Menlo Park ha scelto di integrare i brevi video di Instagram sulla piattaforma principale, dichiarando apertamente guerra all’app di Bytedance. Ma stavolta l’avversario potrebbe essere più tosto del previsto

Lo smart working non è tutto rose e fiori, lo conferma Andrea Toselli amministratore delegato di PwC Italia

Lo smart working, la modalità di lavoro agile che ha permesso a numerose aziende di non bloccare le loro attività e vedere i proprio numeri calare, non comporta soltanto un aumento della produttività al 4% e del PIL del 1,2%.

Perché Wikipedia Italia è finita nel mirino della Cina

Pechino ha accusato la sezione nazionale di Wikimedia di diffondere fake news e si è messa di traverso nella sua domanda e di altre sezioni locali, come Francia e Germania, per iscriversi all’Organizzazione mondiale della proprietà intellettuale

L’intelligenza artificiale che prevede gli eventi futuri leggendo il nostro passato

Un modello di AI è in grado di capire quali tratti della personalità si svilupperanno in un individuo a partire dalla sequenza di eventi socioeconomici e di salute che hanno segnato la sua vita