Opasan propust u Internet Exploreru 11 omogućava veoma efikasne fišing napade

Vesti, 05.02.2015, 09:30 AM

Opasan propust u Internet Exploreru 11 omogućava veoma efikasne fišing napade

Istraživač Dejvid Leo otkrio je univeralni XSS (Cross Site Scripting) propust u Microsoftovom browseru Internet Explorer 11 koji bi mogao omogućiti napadačima da izvedu izuzetno ubedljive fišing napade na korisnike Windows 7 i Windows 8.1.

Propust u IE11 omogućava napadačima da izbegnu Same-Origin Policy (SOP), važan zaštitni mehanizam browsera koji postoji u svim browserima i koji sprečava skripte na sajtu da učitavaju sadržaj sa nekog drugog sajta.

Dejvid Leo je informacije o ovom propustu objavio u subotu, zajedno sa proof-of-concept exploit stranicom koja pokazuje kako funkcioniše napad na posetice nekog legitimnog sajta, a kao metu Leo je izabrao web sajt dailymail.co.uk.

Kada je otvorena u Internet Exploreru 11 na Windows 8.1, exploit stranica nudi korisniku link. Kada se klikne na link, u novom prozoru otvara se sajt dailymail.co.uk, ali posle 7 sekundi sadržaj sajta se zamenjuje stranicom na kojoj piše “Hacked by Deusen”.

Dok se potencijalno maliciozni sadržaj prikazuje korisniku, adresna traka browsera i dalje prikazuje www.dailymail.co.uk, što pokazuje kako na ovaj način može biti izveden veoma uverljiv fišing napad.

Umesto dailymail.co.uk, napadač bi mogao da koristi sajt banke i da na ovaj način ubaci lažni formular tražeći od korisnika poverljive informacije. Browser bi i dalje prikazivao legitimni domen banke, tako da korisnik ne bi imao mnogo razloga da posumnja da se nešto neobično dešava.

Napad funkcioniše i ako ciljani sajtovi koriste HTTPS, tvrdi Džoi Fauler, inženjer bezbednosti u Tumblru, koji je potvrdio da postoji propust na koji je ukazao Dejvid Leo.

Propust je prijavljen Microsoftu 13. oktobra prošle godine i u kompaniji rade na tome da on što pre bude ispravljen.

Predstavnik kompanije Microsoft je rekao da oni ne znaju za napade u kojima se koristi ovaj propust. On je rekao da bi napadač koji bi pokušao da iskoristi ovaj propust najpre trebalo da dovede korisnika na maliciozni web sajt, a da SmartScreen koji je uključen po defaultu u novijim verzijama Internet Explorera, pomaže zaštiti od fišing web sajtova.

“Nastavljamo da ohrabrujemo korisnike da izbegavaju otvaranje linkova uz nepouzdanih izvora i posećivanje nepouzdanih sajtova, ali i da se odjave kada napuštaju sajtove da bi zaštitili svoje informacije”, kažu iz Microsofta.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Korisnici iPhonea mete napada upitima za resetovanje lozinke

Korisnici iPhonea mete napada upitima za resetovanje lozinke

Sofisticirana phishing kampanja koja cilja korisnike iPhonea poslednjih meseci ukazala je na slabost u Appleovom mehanizmu za resetovanje lozinke. Pre... Dalje

Mobi Banka upozorava na pokušaje prevare na društvenim mrežama

Mobi Banka upozorava na pokušaje prevare na društvenim mrežama

Mobi Banka je upozorila korisnike da su se na društvenim mrežama pojavili lažni profili koji koriste ime i logo Mobi Banke i pozivaju korisnike da,... Dalje

Googleova AI pretraga preporučuje korisnicima opasne sajtove i prevare

Googleova AI pretraga preporučuje korisnicima opasne sajtove i prevare

Ranije ovog meseca, Google je počeo da uvodi novu funkciju pod nazivom Google Search Generative Experience (SGE) u rezultate pretrage, koja pruža br... Dalje

Lažne ponude popularnog leka Ozempic preplavile internet, stručnjaci upozoravaju na fišing prevare

Lažne ponude popularnog leka Ozempic preplavile internet, stručnjaci upozoravaju na fišing prevare

Stručnjaci kompanije Kaspersky upozorili su na alarmantan trend pojave fišing stranica koje se predstavljaju kao sajtovi legitimnih prodavaca koji n... Dalje

Uvedene sankcije protiv tri berze kriptovaluta zbog pomoći Rusiji

Uvedene sankcije protiv tri berze kriptovaluta zbog pomoći Rusiji

Kancelarija za kontrolu strane imovine američkog Ministarstva finansija (OFAC) sankcionisala je tri berze kriptovaluta zbog nuđenja usluga koje se k... Dalje