গুরুতর নিরাপত্তা: ব্রাউজার-ইন-দ্য-ব্রাউজার আক্রমণ - এমন উইন্ডোগুলির জন্য সতর্ক থাকুন যেগুলি নেই!

হুমকি গোয়েন্দা সংস্থা গ্রুপ-আইবি-র গবেষকরা শুধু একটি কৌতূহলী লিখেছেন বাস্তব জীবনের গল্প একটি বিরক্তিকর সহজ কিন্তু আশ্চর্যজনকভাবে কার্যকর ফিশিং কৌশল হিসাবে পরিচিত বিটবি, খুব ছোট ব্রাউজার-ইন-দ্য-ব্রাউজার.

আপনি সম্ভবত এর আগে বিভিন্ন ধরণের এক্স-ইন-দ্য-ওয়াই আক্রমণের কথা শুনেছেন, উল্লেখযোগ্যভাবে MitM এবং মিটবি, খুব ছোট ম্যানিপুলেটর-ইন-দ্য-মিডল এবং ম্যানিপুলেটর-ইন-দ্য-ব্রাউজার.

একটি MitM আক্রমণে, আক্রমণকারীরা যারা আপনাকে প্রতারণা করতে চায় তারা নেটওয়ার্কের "মাঝখানে" কোথাও, আপনার কম্পিউটার এবং আপনি যে সার্ভারে পৌঁছানোর চেষ্টা করছেন তার মধ্যে অবস্থান করে।

(তারা আক্ষরিকভাবে মাঝখানে নাও থাকতে পারে, হয় ভৌগলিকভাবে বা হপ-ভিত্তিক, কিন্তু MitM আক্রমণকারীরা কোথাও আছে বরাবর রুট, উভয় প্রান্তে ঠিক নয়।)

ধারণাটি হল যে আপনার কম্পিউটারে বা অন্য প্রান্তে সার্ভারে প্রবেশ করার পরিবর্তে, তারা আপনাকে তাদের সাথে সংযোগ করার জন্য প্রলুব্ধ করে (অথবা ইচ্ছাকৃতভাবে আপনার নেটওয়ার্ক পাথ ম্যানিপুলেট করে, যা আপনি সহজেই নিয়ন্ত্রণ করতে পারবেন না একবার আপনার প্যাকেটগুলি বেরিয়ে গেলে আপনার নিজের রাউটার), এবং তারপরে তারা অন্য প্রান্ত হওয়ার ভান করে - একটি নৃশংস প্রক্সি, যদি আপনি চান।

তারা আপনার প্যাকেটগুলিকে অফিসিয়াল গন্তব্যে নিয়ে যায়, সেগুলিকে স্নুপিং করে এবং সম্ভবত পথে তাদের সাথে ঝাঁকুনি দেয়, তারপর অফিসিয়াল উত্তর পায়, যা তারা স্নুপ করতে পারে এবং দ্বিতীয়বার টুইট করতে পারে এবং সেগুলি আপনার কাছে ফিরিয়ে দেয় যেন আপনি' d আপনার প্রত্যাশা অনুযায়ী এন্ড-টু-এন্ড সংযুক্ত।

আপনি যদি ট্র্যাফিকের গোপনীয়তা (কোন স্নুপিং নয়!) এবং অখণ্ডতা (কোনও টেম্পারিং না!) উভয়কে রক্ষা করার জন্য HTTPS-এর মতো এন্ড-টু-এন্ড এনক্রিপশন ব্যবহার না করেন, তাহলে আপনি লক্ষ্য করবেন না, এমনকি করতে পারবেন না শনাক্ত করুন, অন্য কেউ আপনার ডিজিটাল অক্ষরগুলিকে ট্রানজিটে খুলতে বাষ্পীভূত করছে এবং তারপরে সেগুলিকে আবার সিল করে দিচ্ছে।

এক প্রান্তে আক্রমণ

A মিটবি আক্রমণের লক্ষ্য একইভাবে কাজ করা, কিন্তু HTTPS দ্বারা সৃষ্ট সমস্যাটিকে এড়িয়ে যাওয়া, যা একটি MitM আক্রমণকে অনেক কঠিন করে তোলে।

MitM আক্রমণকারীরা সহজেই HTTPS এর সাথে এনক্রিপ্ট করা ট্র্যাফিকের সাথে হস্তক্ষেপ করতে পারে না: তারা আপনার ডেটা স্নুপ করতে পারে না, কারণ তাদের কাছে প্রতিটি প্রান্তে এটিকে রক্ষা করার জন্য ব্যবহৃত ক্রিপ্টোগ্রাফিক কী নেই; তারা এনক্রিপ্ট করা ডেটা পরিবর্তন করতে পারে না, কারণ প্রতিটি প্রান্তে ক্রিপ্টোগ্রাফিক যাচাইকরণ তখন অ্যালার্ম বাড়াবে; এবং তারা যে সার্ভারের সাথে আপনি সংযোগ করছেন সেটির ভান করতে পারে না কারণ তাদের কাছে ক্রিপ্টোগ্রাফিক গোপনীয়তা নেই যা সার্ভার তার পরিচয় প্রমাণ করতে ব্যবহার করে।

একটি MitB আক্রমণ তাই সাধারণত প্রথমে আপনার কম্পিউটারে ম্যালওয়্যার লুকিয়ে রাখার উপর নির্ভর করে।

এটি সাধারণত কিছু সময়ে নেটওয়ার্কে ট্যাপ করার চেয়ে বেশি কঠিন, তবে এটি আক্রমণকারীদের একটি বিশাল সুবিধা দেয় যদি তারা এটি পরিচালনা করতে পারে।

এর কারণ, যদি তারা আপনার ব্রাউজারের মধ্যেই নিজেদের সন্নিবেশ করতে পারে, তাহলে তারা আপনার নেটওয়ার্ক ট্রাফিক দেখতে এবং পরিবর্তন করতে পারবে আপনার ব্রাউজার এটি এনক্রিপ্ট করার আগে পাঠানোর জন্য, যা কোনো আউটবাউন্ড HTTPS সুরক্ষা বাতিল করে, এবং আপনার ব্রাউজার এটি ডিক্রিপ্ট করার পরে ফেরার পথে, এইভাবে সার্ভারের দ্বারা প্রয়োগ করা এনক্রিপশনকে বাতিল করে দেয় তার উত্তরগুলি রক্ষা করার জন্য।

একটি BitB সম্পর্কে কি?

কিন্তু একটি সম্পর্কে কি বিটবি আক্রমণ?

ব্রাউজার-ইন-দ্য-ব্রাউজার বেশ মুখরোচক, এবং জড়িত প্রতারণা সাইবার অপরাধীদেরকে MitM বা MitB হ্যাকের মতো শক্তি দেয় না, তবে ধারণাটি কপালে চড়-থাপ্পড়ের মতো সহজ, এবং আপনি যদি খুব বেশি তাড়াহুড়ো করেন তবে এটি আশ্চর্যজনকভাবে এটার জন্য পড়া সহজ।

একটি বিটবি আক্রমণের ধারণাটি হল একটি পপআপ ব্রাউজার উইন্ডোর মতো দেখায় যা ব্রাউজার নিজেই নিরাপদে তৈরি করেছে, তবে এটি আসলে একটি ওয়েব পেজ ছাড়া আর কিছুই নয় যা একটি বিদ্যমান ব্রাউজার উইন্ডোতে রেন্ডার করা হয়েছিল।

আপনি হয়তো ভাবতে পারেন যে এই ধরণের প্রতারণা ব্যর্থ হওয়ার জন্য ধ্বংস হয়ে যাবে, কারণ সাইট X-এর যেকোনও বিষয়বস্তু যা সাইট Y থেকে আসার ভান করে ব্রাউজারেই প্রদর্শিত হবে X সাইটের URL থেকে আসছে৷

অ্যাড্রেস বারে একবার নজর দিলে এটা স্পষ্ট হয়ে যাবে যে আপনাকে মিথ্যা বলা হচ্ছে এবং আপনি যা দেখছেন তা সম্ভবত একটি ফিশিং সাইট।

শত্রু উদাহরণ, এখানে একটি স্ক্রিনশট আছে example.com একটি ম্যাকের ফায়ারফক্সে নেওয়া ওয়েবসাইট:

যদি আক্রমণকারীরা আপনাকে একটি জাল সাইটে প্রলুব্ধ করে, তারা যদি বিষয়বস্তুটি ঘনিষ্ঠভাবে অনুলিপি করে তবে আপনি ভিজ্যুয়ালের জন্য পড়ে যেতে পারেন, কিন্তু ঠিকানা বারটি জানিয়ে দেবে যে আপনি যে সাইটে খুঁজছেন সেখানে আপনি ছিলেন না৷

একটি ব্রাউজার-ইন-দ্য-ব্রাউজার কেলেঙ্কারীতে, তাই আক্রমণকারীর লক্ষ্য একটি নিয়মিত ওয়েব তৈরি করা পৃষ্ঠা যে ওয়েব মত দেখায় সাইট এবং বিষয়বস্তু আপনি প্রত্যাশা করছেন, জানালার সাজসজ্জা এবং ঠিকানা দণ্ডের সাথে সম্পূর্ণ, যতটা সম্ভব বাস্তবসম্মতভাবে সিমুলেটেড।

একটি উপায়ে, একটি বিটবি আক্রমণ বিজ্ঞানের চেয়ে শিল্প সম্পর্কে বেশি, এবং এটি নেটওয়ার্ক হ্যাকিংয়ের চেয়ে ওয়েব ডিজাইন এবং প্রত্যাশা পরিচালনার বিষয়ে বেশি।

উদাহরণস্বরূপ, যদি আমরা দুটি স্ক্রীন-স্ক্র্যাপ করা ইমেজ ফাইল তৈরি করি যা এইরকম দেখায়…

…তারপর এইচটিএমএল যতটা সহজ আপনি নীচে যা দেখছেন...

<html>
   <body>
      <div>
         <div><img src='./fake-top.png'></div>
         <p>
         <div><img src='./fake-bot.png'></div>
      </div>
   </body>
</html>

…একটি বিদ্যমান ব্রাউজার উইন্ডোর ভিতরে একটি ব্রাউজার উইন্ডোর মত দেখাবে তা তৈরি করবে, যেমন:

এই একেবারে মৌলিক উদাহরণে, উপরের বামে তিনটি ম্যাকোস বোতাম (ক্লোজ, মিনিমাইজ, ম্যাক্সিমাইজ) কিছুই করবে না, কারণ তারা অপারেটিং সিস্টেম বোতাম নয়, তারা শুধু বোতামের ছবি, এবং ফায়ারফক্স উইন্ডোর মতো দেখতে ঠিকানা বারে ক্লিক করা বা সম্পাদনা করা যায় না, কারণ এটিও শুধু একটি স্ক্রিনশট.

কিন্তু এখন যদি আমরা উপরে দেখানো HTML-এ একটি IFRAME যোগ করি, এমন একটি সাইট থেকে জাল বিষয়বস্তু চুষতে যার সাথে কোনো সম্পর্ক নেই example.com, এটার মত…

<html>
   <body>
      <div>
         <div><img src='./fake-top.png' /></div>   
         <div><iframe src='https:/dodgy.test/phish.html' frameBorder=0 width=650 height=220></iframe></div>
         <div><img src='./fake-bot.png' /></div>
      </div>
   </body>
</html>

…আপনাকে স্বীকার করতে হবে যে ফলস্বরূপ ভিজ্যুয়াল কন্টেন্ট দেখায় ঠিক একটি স্বতন্ত্র ব্রাউজার উইন্ডোর মত, যদিও এটা আসলে একটি অন্য ব্রাউজার উইন্ডোর ভিতরে ওয়েব পেজ.

পাঠ্য বিষয়বস্তু এবং আপনি নীচে যে ক্লিকযোগ্য লিঙ্কটি দেখছেন তা থেকে ডাউনলোড করা হয়েছে৷ dodgy.test উপরের HTML ফাইলে HTTPS লিঙ্ক, যেটিতে এই HTML কোড রয়েছে:

<html>
   <body style='font-family:sans-serif'>
      <div style='width:530px;margin:2em;padding:0em 1em 1em 1em;'>
         <h1>Example Domain</h1>

         <p>This window is a simulacrum of the real website,
         but it did not come from the URL shown above.
         It looks as though it might have, though, doesn't it?

         <p><a href='https://dodgy.test/phish.click'>Bogus information...</a>
      </div>
   </body>
</html>

এইচটিএমএল টেক্সটকে টপিং এবং টেইলিং করা গ্রাফিক্যাল বিষয়বস্তু এমনভাবে দেখায় যেন এইচটিএমএল সত্যিই থেকে এসেছে example.com, উপরের ঠিকানা বারের স্ক্রিনশটটির জন্য ধন্যবাদ:

আপনি যদি লিনাক্সের মতো একটি ভিন্ন অপারেটিং সিস্টেমে বোগাস উইন্ডোটি দেখেন তবে শিল্পটি সুস্পষ্ট, কারণ আপনি একটি লিনাক্স-এর মতো ফায়ারফক্স উইন্ডো পাবেন যার ভিতরে একটি ম্যাকের মতো "উইন্ডো" রয়েছে।

জাল "উইন্ডো ড্রেসিং" উপাদানগুলি সত্যিই চিত্রগুলির মতো আলাদা করে তুলেছে:

আপনি এটা জন্য পড়া হবে?

আপনি যদি কখনও অ্যাপের স্ক্রিনশট নিয়ে থাকেন, এবং তারপরে আপনার ফটো ভিউয়ারে পরে স্ক্রিনশটগুলি খোলেন, আমরা বাজি ধরতে চাই যে কোনও সময়ে আপনি অ্যাপের ছবি ব্যবহার করার জন্য নিজেকে প্রতারণা করেছেন যেন এটি একটি চলমান অনুলিপি। অ্যাপ নিজেই।

আমরা বাজি ধরব যে আপনি আপনার জীবনে অন্তত একটি অ্যাপ-ইন-অ্যাপ ছবিতে ক্লিক করেছেন বা ট্যাপ করেছেন, এবং আপনি নিজেকে ভাবছেন কেন অ্যাপটি কাজ করছে না। (ঠিক আছে, হয়তো আপনি করেননি, তবে আমাদের অবশ্যই প্রকৃত বিভ্রান্তির বিন্দুতে আছে।)

অবশ্যই, যদি আপনি একটি ফটো ব্রাউজারের ভিতরে একটি অ্যাপের স্ক্রিনশট ক্লিক করেন, তাহলে আপনি খুব কম ঝুঁকির মধ্যে থাকবেন, কারণ ক্লিক বা ট্যাপগুলি আপনি যা আশা করেন তা করবে না - প্রকৃতপক্ষে, আপনি ছবিটির লাইনগুলি সম্পাদনা বা স্ক্রিবলিং শেষ করতে পারেন পরিবর্তে.

তবে যখন এটি আসে ব্রাউজার-ইন-দ্য-ব্রাউজার "আর্টওয়ার্ক আক্রমণ" পরিবর্তে, একটি সিমুলেটেড উইন্ডোতে ভুল নির্দেশিত ক্লিক বা ট্যাপগুলি বিপজ্জনক হতে পারে, কারণ আপনি এখনও একটি সক্রিয় ব্রাউজার উইন্ডোতে আছেন, যেখানে জাভাস্ক্রিপ্ট চলছে এবং যেখানে লিঙ্কগুলি এখনও কাজ করে...

…আপনি যে ব্রাউজার উইন্ডোটি ভেবেছিলেন সেটিতে আপনি নেই এবং আপনি যে ওয়েবসাইটটি ভেবেছিলেন সেখানেও নেই৷

আরও খারাপ, সক্রিয় ব্রাউজার উইন্ডোতে চলমান যেকোন জাভাস্ক্রিপ্ট (যা আপনার পরিদর্শন করা আসল ইম্পোস্টার সাইট থেকে এসেছে) বাস্তববাদ যোগ করার জন্য একটি প্রকৃত ব্রাউজার পপআপ উইন্ডোর প্রত্যাশিত আচরণের কিছু অনুকরণ করতে পারে, যেমন এটি টেনে আনা, এটির আকার পরিবর্তন করা এবং আরো

আমরা শুরুতে বলেছিলাম, যদি আপনি একটি বাস্তব পপআপ উইন্ডোর জন্য অপেক্ষা করছেন, এবং আপনি এমন কিছু দেখতে পান দেখতে একটি পপআপ উইন্ডো, বাস্তবসম্মত ব্রাউজার বোতাম এবং একটি অ্যাড্রেস বার সহ সম্পূর্ণ যা আপনি যা আশা করেছিলেন তার সাথে মেলে, এবং আপনি একটু তাড়াহুড়ো করছেন...

…আমরা সম্পূর্ণরূপে বুঝতে পারি আপনি কীভাবে নকল উইন্ডোটিকে আসল হিসাবে ভুল চিনতে পারেন৷

স্টিম গেমস টার্গেট করা হয়েছে

গ্রুপ-আইবিতে গবেষণা আমরা উপরে উল্লেখ করেছি, রিয়েল-ওয়ার্ল্ড BinB আক্রমণ যে গবেষকরা এসেছিলেন তা স্টিম গেমসকে প্রলোভন হিসাবে ব্যবহার করেছিল।

একটি বৈধ খুঁজছেন সাইট, যদিও আপনি আগে কখনও শোনেন নি, আপনাকে একটি আসন্ন গেমিং টুর্নামেন্টে জায়গা জেতার সুযোগ দেবে, উদাহরণস্বরূপ...

…এবং যখন সাইটটি বলেছিল যে এটি একটি স্টিম লগইন পৃষ্ঠা সহ একটি পৃথক ব্রাউজার উইন্ডো পপ আপ করছে, তখন এটি সত্যিই একটি ব্রাউজার-ইন-দ্য-ব্রাউজার বোগাস উইন্ডো উপস্থাপন করেছে।

গবেষকরা উল্লেখ করেছেন যে আক্রমণকারীরা কেবল ব্যবহারকারীর নাম এবং পাসওয়ার্ডের জন্য বিটবি কৌশল ব্যবহার করেনি, তবে স্টিম গার্ড পপআপগুলিকে টু-ফ্যাক্টর প্রমাণীকরণ কোডের জন্যও অনুকরণ করার চেষ্টা করেছিল।

সৌভাগ্যবশত, গ্রুপ-আইবি দ্বারা উপস্থাপিত স্ক্রিনশটগুলি দেখায় যে এই ক্ষেত্রে যে অপরাধীরা তাদের বিরুদ্ধে ঘটেছে তারা তাদের স্ক্যামারির শিল্প-এবং-ডিজাইন দিকগুলি সম্পর্কে ভয়ঙ্করভাবে সতর্ক ছিল না, তাই বেশিরভাগ ব্যবহারকারীরা সম্ভবত জালটি দেখেছেন।

কিন্তু তাড়াহুড়ো করে একজন সুপরিচিত ব্যবহারকারীও, অথবা এমন কোনো ব্রাউজার বা অপারেটিং সিস্টেম ব্যবহার করে যার সাথে তারা পরিচিত ছিল না, যেমন বন্ধুর বাড়িতে, ভুলত্রুটিগুলি লক্ষ্য করেনি।

এছাড়াও, আরও ধোঁকাবাজ অপরাধীরা প্রায় নিশ্চিতভাবেই আরও বাস্তবসম্মত জাল বিষয়বস্তু নিয়ে আসবে, একইভাবে যে সমস্ত ইমেল স্ক্যামার তাদের বার্তাগুলিতে বানান ভুল করে না, এইভাবে সম্ভাব্যভাবে আরও বেশি লোককে তাদের অ্যাক্সেসের শংসাপত্রগুলি দেওয়ার দিকে পরিচালিত করে।

কি করো?

এখানে তিনটি টিপস আছে:

• ব্রাউজার-ইন-দ্য-ব্রাউজার উইন্ডোগুলি প্রকৃত ব্রাউজার উইন্ডো নয়। যদিও এগুলি অপারেটিং সিস্টেম স্তরের উইন্ডোগুলির মতো মনে হতে পারে, বোতাম এবং আইকনগুলি যা দেখতে ঠিক বাস্তব চুক্তির মতো, তারা অপারেটিং সিস্টেম উইন্ডোগুলির মতো আচরণ করে না৷ তারা ওয়েব পেজ মত আচরণ করে, কারণ তারা কি. আপনি যদি সন্দেহজনক হন, সন্দেহভাজন উইন্ডোটিকে প্রধান ব্রাউজার উইন্ডোর বাইরে টেনে আনার চেষ্টা করুন যাতে এটি রয়েছে. একটি বাস্তব ব্রাউজার উইন্ডো স্বাধীনভাবে আচরণ করবে, যাতে আপনি এটিকে মূল ব্রাউজার উইন্ডোর বাইরে এবং বাইরে নিয়ে যেতে পারেন। একটি নকল ব্রাউজার উইন্ডোটি যে বাস্তব উইন্ডোতে দেখানো হয়েছে তার ভিতরে "বন্দী" করা হবে, এমনকি যদি আক্রমণকারী জাভাস্ক্রিপ্ট ব্যবহার করে যতটা সম্ভব প্রকৃত চেহারার আচরণ অনুকরণ করার চেষ্টা করে। এটি দ্রুত জানিয়ে দেবে যে এটি একটি ওয়েব পৃষ্ঠার অংশ, নিজের অধিকারে একটি সত্য উইন্ডো নয়।
• সন্দেহজনক উইন্ডোগুলি সাবধানে পরীক্ষা করুন। একটি ওয়েব পৃষ্ঠার ভিতরে একটি অপারেটিং সিস্টেম উইন্ডোর চেহারা এবং অনুভূতিকে বাস্তবসম্মতভাবে উপহাস করা খারাপভাবে করা সহজ, কিন্তু ভাল করা কঠিন। জাল এবং অসামঞ্জস্যতার টেলেল লক্ষণগুলি দেখতে সেই অতিরিক্ত কয়েক সেকেন্ড নিন।
• সন্দেহ হলে, এটা দিতে না. আপনি যে সাইটগুলির কথা কখনও শোনেননি সেগুলি সম্পর্কে সন্দেহ পোষণ করুন এবং আপনার বিশ্বাস করার কোন কারণ নেই, যেগুলি হঠাৎ করে আপনি একটি তৃতীয় পক্ষের সাইটের মাধ্যমে লগইন করতে চান৷

কখনই তাড়াহুড়ো করবেন না, কারণ আপনার সময় নেওয়ার ফলে আপনি যা দেখতে চান তা অনেক কম করে দেবে মনে কি আসলে কি দেখছেন পরিবর্তে আছে is সেখানে.

তিনটি শব্দে: থামো। ভাবুন। সংযোগ করুন।

---

ম্যাগ্রিটের "লা ট্রাহিসন দেস ইমেজস" এর মাধ্যমে তৈরি করা ছবির চিত্র সহ অ্যাপ উইন্ডোর ছবির বৈশিষ্ট্যযুক্ত চিত্র উইকিপিডিয়া.

---