警告:黑客发动在线钓鱼攻击不再依赖电子邮件
2011-10-08 19:53
344 查看
安全厂商Trusteer的研究人员表示,近日黑客利用所有主流浏览器中存在的一个漏洞发起新型攻击,被称为“在线钓鱼攻击(in-session phishing)”,这种攻击能够帮助黑客轻而易举地窃取网上银行电子证书。
在线钓鱼攻击帮助钓鱼攻击者解决了发动钓鱼攻击的最大问题,即如何窃取更多银行帐户信息。在传统的钓鱼攻击中,攻击者通常会发送出数以百万计的伪装电子邮件,让用户以为这些电子邮件是来自合法公司,如银行或者网上支付公司。这些邮件信息往往会被垃圾邮件过滤软件拦截,所以成功率不会很高。有了在线钓鱼攻击,攻击者不需要再使用发送电子邮件的方式,取而代之的是弹出浏览器窗口。
让我们看看这种攻击是如何发生的:黑客们首先会攻击一个合法网站,然后植入HTML代码,使网站自动弹出类似安全警告的窗口,然后用户登陆网站时该弹出窗口就会要求用户输入密码和登录信息,或者要求用户回答其他银行用来核实用户身份的安全问题。
对于攻击者而言,最困难的部分就是要让用户相信弹出通知窗口是安全合法的,不过这也不难,因为所有主流浏览器的JavaScript引擎中存在的一个漏洞恰好能够助攻击者一臂之力,Trusteer公司的首席技术官Amit Klein表示,这个漏洞能够提高攻击者的成功率。
Klein表示,他通过研究浏览器使用JavaScript的方式,已经发现了一种方法可以鉴定用户是否登录到某网站,只要使用某种JavaScript函数,Klein表示将不会公布这个函数功能,以防攻击者向该漏洞发起攻击,不过Klein已经告知浏览器供应商并预计这个漏洞很快将得到修复。
在此之前,如果攻击者发现了这个安全漏洞,就能够写入代码来检查是否有网民登录到银行网站。“不仅仅通过这个随机弹出钓鱼信息,攻击者还可以通过探测来发现用户是否在登录金融机构网站以进行更复杂的攻击。”他表示。
“事实上,只要用户在线就可能收到钓鱼信息,”Klein补充说道。
安全研究人员已经研究出其他方法来识别受害者是否正登录到某个网站,但信息也不是完全可靠,Klein表示他的方法不是完全可行的,但是可以在很多网站使用,包括银行、购物网站、游戏和社交网站等。
在线钓鱼攻击帮助钓鱼攻击者解决了发动钓鱼攻击的最大问题,即如何窃取更多银行帐户信息。在传统的钓鱼攻击中,攻击者通常会发送出数以百万计的伪装电子邮件,让用户以为这些电子邮件是来自合法公司,如银行或者网上支付公司。这些邮件信息往往会被垃圾邮件过滤软件拦截,所以成功率不会很高。有了在线钓鱼攻击,攻击者不需要再使用发送电子邮件的方式,取而代之的是弹出浏览器窗口。
让我们看看这种攻击是如何发生的:黑客们首先会攻击一个合法网站,然后植入HTML代码,使网站自动弹出类似安全警告的窗口,然后用户登陆网站时该弹出窗口就会要求用户输入密码和登录信息,或者要求用户回答其他银行用来核实用户身份的安全问题。
对于攻击者而言,最困难的部分就是要让用户相信弹出通知窗口是安全合法的,不过这也不难,因为所有主流浏览器的JavaScript引擎中存在的一个漏洞恰好能够助攻击者一臂之力,Trusteer公司的首席技术官Amit Klein表示,这个漏洞能够提高攻击者的成功率。
Klein表示,他通过研究浏览器使用JavaScript的方式,已经发现了一种方法可以鉴定用户是否登录到某网站,只要使用某种JavaScript函数,Klein表示将不会公布这个函数功能,以防攻击者向该漏洞发起攻击,不过Klein已经告知浏览器供应商并预计这个漏洞很快将得到修复。
在此之前,如果攻击者发现了这个安全漏洞,就能够写入代码来检查是否有网民登录到银行网站。“不仅仅通过这个随机弹出钓鱼信息,攻击者还可以通过探测来发现用户是否在登录金融机构网站以进行更复杂的攻击。”他表示。
“事实上,只要用户在线就可能收到钓鱼信息,”Klein补充说道。
安全研究人员已经研究出其他方法来识别受害者是否正登录到某个网站,但信息也不是完全可靠,Klein表示他的方法不是完全可行的,但是可以在很多网站使用,包括银行、购物网站、游戏和社交网站等。
相关文章推荐
- 黑客利用雅虎通好友列表发动钓鱼攻击
- Google Talk被黑客利用 发动钓鱼攻击
- 看黑客如何发动对电子邮件系统的攻击
- 看黑客如何发动对电子邮件系统的攻击
- 剖析黑客如何通过Google发动攻击
- 研究称黑客利用P2P发动攻击更加普遍
- 黑客组织Anonymous拟24日对美发动网络攻击
- 黑客通过网页或电子邮件进行攻击的主要类型
- 【每日安全资讯】黑客攻击了BeeToken的电子邮件列表偷走了价值100万美元的以太坊
- 微软警告:非法SSL证书或引发“钓鱼”攻击
- 安全警报:黑客发动大规模攻击 劫持五十万站点
- 微软称Outlook电子邮件在中国遭遇黑客攻击
- Linux 出现多种漏洞 黑客用电子邮件发起攻击
- Photoshop曝高危漏洞 黑客可发动远程攻击
- 看黑客是如何攻击电子邮件的
- 看黑客是如何攻击电子邮件的
- 千万不要攻击中国网站!传奇美国黑客凯文·米特尼克的警告
- 安全知识 黑客是如何攻击电子邮件的
- ICANN遭黑客钓鱼攻击 员工帐号信息泄露
- 专家剖析黑客如何通过Google发动攻击