Komponente

Fotografija koja može ukrasti vaš Facebook račun

Sedam trikova na Whats app koje mozda niste znali

Sedam trikova na Whats app koje mozda niste znali
Anonim

Na konferenciji Black Hat računalne sigurnosti u Las Vegasu sljedećeg tjedna istraživači će pokazati softver koji su razvili da bi ukrali online vjerodajnice od korisnika popularnih web stranica kao što su Facebook, eBay i Google.

Napad se oslanja na novu vrstu hibridne datoteke koja izgleda kao različite stvari različitim programima. Postavljanjem tih datoteka na web stranice koje omogućuju korisnicima da prenesu svoje slike, istraživači mogu zaobići sigurnosne sustave i preuzimati račune web surfera koji koriste te web stranice.

"Uspjeli smo s Java aplet koji je za sve namjere i svrhe slika ", rekao je John Heasman, potpredsjednik istraživanja na NGS Softveru.

Ova vrsta datoteke nazivaju GIFAR, kontrakcija GIF-a (format grafičke razmjene) i JAR (Java Archive), dvije vrste datoteka koje se miješaju. Na Black Hatu, istraživači će pokazati sudionicima kako stvoriti GIFAR, a izostavljajući nekoliko ključnih detalja kako bi se spriječilo da se odmah koristi u bilo kojem raširenom napadu.

Na web poslužitelju datoteka izgleda točno kao.gif datoteka, međutim Java virtualni stroj preglednika otvorit će ga kao datoteku Java arhive, a zatim ga pokrenuti kao aplet. To daje napadaču priliku za pokretanje Java koda u pregledniku žrtve. S druge strane, preglednik tretira ovaj zlonamjerni aplet kao da ga je napisao razvojni programer web mjesta.

Evo kako će napad funkcionirati: Loši dečki stvorili bi profil na jednoj od ovih popularnih web stranica - Facebook, na primjer - i prenesite GIFAR kao sliku na web mjestu. Zatim bi izigrali žrtvu u posjete zlonamjernoj web stranici, koja bi otkrila pregledniku žrtve da otvori GIFAR. U tom trenutku applet će se pokrenuti u pregledniku, dajući lošim osobama pristup računu žrtve na Facebooku.

Napad može raditi na bilo kojem web mjestu koje korisnicima omogućuje prijenos datoteka, potencijalno čak i na web stranicama koje se koriste za prijenos fotografije bankovne kartice ili čak Amazon.com, kažu.

Budući da Java otvara GIFAR, mogu se otvoriti u mnogim vrstama preglednika.

Ipak, postoji jedan ulov. Žrtva bi se trebala prijaviti na web stranicu koja je hosting slika za napad na posao. "Napad će raditi najbolje kad god ste ostavili prijavljen dugo vremena", rekao je Heasman.

Postoji nekoliko načina da napad GIFAR može biti prekinut. Web stranice mogu potaknuti svoje alate za filtriranje kako bi mogli uočiti hibridne datoteke. Alternativno, Sun bi mogao pooštriti okruženje Java runtime kako bi se to spriječilo. Istraživači očekuju da će Sun doći do popravka nedugo nakon Black Hatovog razgovora.

No istraživači kažu da dok Java popravak može onemogućiti ovaj vektor napada, problem zlonamjernog sadržaja koji se postavlja na legitimne web aplikacije mnogo je veći i torniji problem. "Postojat će i drugi načini za to, s drugim tehnologijama", izjavio je GIFAR razvojni programer Nathan McFeters, istraživač s Ernst & Youngovim naprednim sigurnosnim centrom.

"Dugoročno, web aplikacije morat će preuzeti kontrolu nad sadržaj ", rekao je McFeters. "To je problem s web aplikacijom. Java napad koji trenutno koristimo je samo jedan vektor."

On i njegovi kolege iz Black Hatovih predavača imaju pravo na njihov razgovor Internet je prekinut.

U konačnici, pretraživači će imati kako bi i neke temeljite promjene u njihovom softveru previše, rekao je Jeremiah Grossman, glavni tehnološki časnik s White Hat Security. "Nije da je Internet razbijen", rekao je. "To je sigurnost preglednika koja je prekinuta. Sigurnost preglednika zapravo je oksimoron."