La nouvelle méthode de phishing déforme la barre d’adresse de Chrome

Publié par Ryne Hager Traduction Yomane sur 29 Avril 2019, 09:05am

Catégories : #Failles & Alertes de Sécurité, #OpenSource, #software hadware

Le développeur James Fisher a découvert un nouveau type d'attaque de phishing potentielle . Appelé la "barre d'interception" [incetption bar] par son créateur. L'attaque permet à un site d'usurper une URL dans la version mobile de Chrome lors du défilement, puis de le verrouiller dans une fausse interface utilisateur. En fait, le site détaillant cette faille nouvellement découverte l' utilise, semblant montrer une URL HSBC.

L'attaque de la barre de lancement tire parti du fait que Chrome sur mobile masque la barre d'adresse lors du défilement. Bien qu’il s’agisse d’une fonctionnalité vraiment utile sur un écran plus petit, vous permettant de voir plus de contenu dans l’espace limité fourni, cette attaque manipule cette fonctionnalité, en remplaçant la barre d’URL par un faux après que le vrai soit caché, exploitant ainsi la confiance implicite l'élément d'interface utilisateur reconnaissable. Pire, il est capable d'empêcher la barre réelle de réapparaître lorsque vous faites défiler en arrière comme il se doit, en utilisant ce que le développeur appelle "scroll jail" en verrouillant l'utilisateur dans un conteneur de débordement, complétez avec une fausse actualisation de page s'il défile trop .

Dans ce cas, la fausse barre est simplement une image statique qui spécifie l'adresse de la HSBC comme une preuve de concept (et elle bogue parfois en montrant les deux barres), mais rien n'empêche des personnes aussi malicieuses et entreprenantes de créer une interaction interactive et dynamique. bar en utilisant les mêmes outils. La barre d'adresse et le menu intégrés à la fausse interface utilisateur pourraient offrir une interactivité pour un effet plus convaincant. Dans ce cas, même essayer de naviguer vers l'URL appropriée si vous choisissez n'importe quel type d'esquisse n'a pas d'importance, car vous utiliseriez la fausse barre d'URL. Pire encore, un site vraiment bien conçu peut extraire du contenu d'une URL que vous entrez manuellement pour mieux l'utiliser. En d’autres termes, une fois que vous avez chargé un site avec la barre de démarrage, il n’ya guère de moyen de savoir si ou quand vous êtes parti - d’où le nom.

Source : androidpolice