Groźny exploit w Google Chrome ułatwia ataki phishingowe – zobacz jak się uchronić

{reklama-artykul}Wiele ataków hakerskich wymaga konkretnego działania użytkownika. Czasem zupełnie przypadkowego kliknięcia, czasem nieświadomego zainstalowania złośliwego oprogramowania. W większości przypadków osoby, które wiedzą jak działają cyberprzestępcy mogą bez problemu uniknąć problemów poprzez ostrożne zachowanie – między innymi sprawdzanie paska adresu, aby upewnić się co do tego czy jesteśmy na prawidłowej stronie. Jednak i na to znalazł się sposób.

Jim Fisher opublikował na swoim blogu demonstrację sposobu, który pozwolił mu w łatwy sposób wyświetlić fałszywy pasek adresu i pozostałe elementy interfejsu w Google Chrome na Androidzie, wykorzystując jedynie triki przy tworzeniu strony internetowej. 

Chodzi tu konkretnie o ukrywanie paska adresu. Domyślnie chowa się on w trakcie przewijania strony w dół i powraca przy przewijaniu w górę. Fisher znalazł jednak metodę, która pozwala ukryć pasek adresu przy wracaniu na górę i jednocześnie wyświetlić fałszywy UI. Aby ułatwić zrozumienie tego, mężczyzna przygotował wizualizację. Na nagraniu możemy zobaczyć jak przy przewijaniu strony jamesfisher.com w górę, pojawia się fałszywy pasek pokazujący adres hsbc.com.

Jedną z gorszych cech tego exploita jest fakt, że nie jest tak łatwo opuścić strony bez prawdziwego paska (fałszywy interfejs nie pozwoli nam wrócić czy wyjść do strony głównej). Jeżeli w tej chwili pomyśleliście, że wystarczy użyć przycisku wstecz, to musimy Was rozczarować: bardzo łatwo jest zmienić jego działanie w przeglądarce. 

Jak sprawdzić czy pasek adresu jest prawdziwy?

Na szczęście istnieje prosty sposób na sprawdzenie czy nasz pasek nie został zmieniony. Wystarczy zablokować i ponownie odblokować ekran naszego smartfona. W zdecydowanej większości przypadków powinno to wymusić na Chrome wyświetlenie prawdziwego paska adresu i jednocześnie sfałszowanego pod spodem. 

Liczymy na to, że Google szybko wprowadzi aktualizację, która uniemożliwi wykorzystanie exploita (i może przy okazji zmieni sposób podmieniania działania przycisku wstecz?). Google, a także inni deweloperzy. To, że exploita zaprezentowano na przykładzie najpopularniejszej przeglądarki wcale nie oznacza, że w przypadku innych (na przykład Opery czy Edge działających na tym samym silniku) metoda nie zadziała.

Źródło: Engadget