गंभीर सुरक्षा: ब्राउज़र-इन-द-ब्राउज़र हमले - उन विंडोज़ से सावधान रहें जो नहीं हैं!

ख़तरनाक ख़ुफ़िया कंपनी ग्रुप-आईबी के शोधकर्ताओं ने अभी एक दिलचस्प लिखा वास्तविक जीवन की कहानी एक कष्टप्रद सरल लेकिन आश्चर्यजनक रूप से प्रभावी फ़िशिंग ट्रिक के बारे में जिसे जाना जाता है बिटबी, के लिए कम ब्राउज़र-में-ब्राउज़र.

आपने शायद पहले कई प्रकार के एक्स-इन-द-वाई हमले के बारे में सुना होगा, विशेष रूप से MITM और मिटबी, के लिए कम मैनिपुलेटर-इन-द-बीच और मैनिपुलेटर-इन-द-ब्राउज़र.

एक मिटएम हमले में, जो हमलावर आपको धोखा देना चाहते हैं, वे खुद को नेटवर्क के "बीच में" आपके कंप्यूटर और उस सर्वर के बीच में रखते हैं, जिस तक आप पहुंचने की कोशिश कर रहे हैं।

(वे भौगोलिक रूप से या हॉप-वार सचमुच बीच में नहीं हो सकते हैं, लेकिन मिटएम हमलावर कहीं हैं साथ में मार्ग, किसी भी छोर पर सही नहीं।)

विचार यह है कि आपके कंप्यूटर में, या दूसरे छोर पर सर्वर में सेंध लगाने के बजाय, वे आपको इसके बजाय उनसे जुड़ने का लालच देते हैं (या जानबूझकर आपके नेटवर्क पथ में हेरफेर करते हैं, जिसे आप आसानी से नियंत्रित नहीं कर सकते हैं जब आपके पैकेट बाहर निकल जाते हैं। आपका अपना राउटर), और फिर वे दूसरा छोर होने का दिखावा करते हैं - यदि आप चाहें तो एक द्वेषपूर्ण प्रॉक्सी।

वे आपके पैकेट को आधिकारिक गंतव्य तक पहुंचाते हैं, उन पर जासूसी करते हैं और शायद रास्ते में उनके साथ खिलवाड़ करते हैं, फिर आधिकारिक उत्तर प्राप्त करते हैं, जिसे वे दूसरी बार देख सकते हैं और ट्विक कर सकते हैं, और उन्हें आपको वापस भेज सकते हैं जैसे कि आप ' d आपकी अपेक्षा के अनुरूप एंड-टू-एंड कनेक्टेड है।

यदि आप ट्रैफ़िक की गोपनीयता (कोई जासूसी नहीं!) और अखंडता (कोई छेड़छाड़ नहीं!) दोनों की रक्षा के लिए एचटीटीपीएस जैसे एंड-टू-एंड एन्क्रिप्शन का उपयोग नहीं कर रहे हैं, तो आपको नोटिस करने की संभावना नहीं है, या यहां तक ​​​​कि सक्षम होने की संभावना नहीं है पता लगाएँ, कि कोई अन्य व्यक्ति आपके डिजिटल अक्षरों को ट्रांज़िट में खोल रहा है, और फिर बाद में उन्हें फिर से सील कर रहा है।

एक छोर पर हमला

A मिटबी हमले का लक्ष्य उसी तरह से काम करना है, लेकिन एचटीटीपीएस के कारण होने वाली समस्या को दूर करना है, जो मिटएम हमले को बहुत कठिन बना देता है।

मिटएम हमलावर HTTPS के साथ एन्क्रिप्ट किए गए ट्रैफ़िक में आसानी से हस्तक्षेप नहीं कर सकते: वे आपके डेटा की जासूसी नहीं कर सकते, क्योंकि उनके पास इसकी सुरक्षा के लिए प्रत्येक छोर द्वारा उपयोग की जाने वाली क्रिप्टोग्राफ़िक कुंजियाँ नहीं हैं; वे एन्क्रिप्टेड डेटा को नहीं बदल सकते हैं, क्योंकि प्रत्येक छोर पर क्रिप्टोग्राफ़िक सत्यापन तब अलार्म बढ़ाएगा; और वे आपके द्वारा कनेक्ट किए जा रहे सर्वर होने का दिखावा नहीं कर सकते क्योंकि उनके पास क्रिप्टोग्राफ़िक रहस्य नहीं है जिसका उपयोग सर्वर अपनी पहचान साबित करने के लिए करता है।

इसलिए एक मिटबी हमला आम तौर पर पहले आपके कंप्यूटर पर मैलवेयर को चुपके से करने पर निर्भर करता है।

यह आमतौर पर किसी बिंदु पर केवल नेटवर्क में टैप करने से अधिक कठिन होता है, लेकिन यह हमलावरों को एक बड़ा लाभ देता है यदि वे इसे प्रबंधित कर सकते हैं।

ऐसा इसलिए है, क्योंकि यदि वे स्वयं को आपके ब्राउज़र में सम्मिलित कर सकते हैं, तो उन्हें आपके नेटवर्क ट्रैफ़िक को देखने और संशोधित करने का अवसर मिलता है इससे पहले कि आपका ब्राउज़र इसे एन्क्रिप्ट करे भेजने के लिए, जो किसी भी आउटबाउंड HTTPS सुरक्षा को रद्द कर देता है, और आपके ब्राउज़र द्वारा इसे डिक्रिप्ट करने के बाद रास्ते में, इस प्रकार सर्वर द्वारा अपने उत्तरों की सुरक्षा के लिए लागू एन्क्रिप्शन को समाप्त कर देता है।

एक बिटबी के बारे में क्या?

लेकिन ए के बारे में क्या बिटबी हमला?

ब्राउज़र-में-ब्राउज़र काफी मुंहफट है, और इसमें शामिल प्रवंचना साइबर अपराधियों को मिटएम या मिटबी हैक के रूप में कहीं भी उतनी शक्ति नहीं देती है, लेकिन अवधारणा माथे पर थप्पड़ मारने की सरल है, और यदि आप बहुत जल्दी में हैं, तो यह आश्चर्यजनक रूप से है इसके लिए गिरना आसान है।

बिटबी हमले का विचार एक पॉपअप ब्राउज़र विंडो की तरह दिखने वाला बनाना है जो ब्राउज़र द्वारा सुरक्षित रूप से उत्पन्न किया गया था, लेकिन यह वास्तव में एक मौजूदा ब्राउज़र विंडो में प्रस्तुत किए गए वेब पेज से ज्यादा कुछ नहीं है।

आप सोच सकते हैं कि इस प्रकार की चालबाजी विफल होने के लिए अभिशप्त होगी, केवल इसलिए कि साइट X की कोई भी सामग्री जो साइट Y से होने का दिखावा करती है, ब्राउज़र में ही साइट X पर URL से आने के रूप में दिखाई देगी।

पता बार पर एक नज़र डालने से यह स्पष्ट हो जाएगा कि आपसे झूठ बोला जा रहा है, और आप जो कुछ भी देख रहे हैं वह संभवतः एक फ़िशिंग साइट है।

दुश्मन उदाहरण, यहाँ का एक स्क्रीनशॉट है example.com Mac पर Firefox में ली गई वेबसाइट:

यदि हमलावरों ने आपको एक नकली साइट पर फुसलाया, तो यदि वे सामग्री को बारीकी से कॉपी करते हैं तो आप दृश्यों के लिए गिर सकते हैं, लेकिन पता बार यह बता देगा कि आप उस साइट पर नहीं थे जिसे आप ढूंढ रहे थे।

ब्राउज़र-इन-द-ब्राउज़र घोटाले में, इसलिए, हमलावर का उद्देश्य एक नियमित वेब बनाना है पृष्ठ जो वेब जैसा दिखता है साइट और सामग्री आप उम्मीद कर रहे हैं, खिड़की की सजावट और पता बार के साथ पूरा करें, यथासंभव वास्तविक रूप से सिम्युलेटेड।

एक तरह से, एक बिटबी हमला विज्ञान के मुकाबले कला के बारे में अधिक है, और यह नेटवर्क हैकिंग के मुकाबले वेब डिज़ाइन और अपेक्षाओं के प्रबंधन के बारे में अधिक है।

उदाहरण के लिए, यदि हम दो स्क्रीन-स्क्रैप की गई छवि फ़ाइलें बनाते हैं जो इस तरह दिखती हैं ...

…फिर HTML उतना ही सरल है जितना आप नीचे देखते हैं…

<html>
   <body>
      <div>
         <div><img src='./fake-top.png'></div>
         <p>
         <div><img src='./fake-bot.png'></div>
      </div>
   </body>
</html>

... एक मौजूदा ब्राउज़र विंडो के अंदर एक ब्राउज़र विंडो की तरह दिखने वाला बना देगा, जैसे:

इस बहुत ही बुनियादी उदाहरण में, ऊपर बाईं ओर तीन macOS बटन (क्लोज़, मिनिमाइज़, मैक्सिमाइज़) कुछ नहीं करेंगे, क्योंकि वे ऑपरेटिंग सिस्टम बटन नहीं हैं, वे बस हैं बटन की तस्वीरें, और फ़ायरफ़ॉक्स विंडो की तरह दिखने वाले एड्रेस बार को क्लिक या संपादित नहीं किया जा सकता है, क्योंकि यह भी है बस एक स्क्रीनशॉट.

लेकिन अगर हम अब ऊपर दिखाए गए HTML में एक IFRAME जोड़ते हैं, तो उस साइट से फर्जी सामग्री को चूसने के लिए जिसका इससे कोई लेना-देना नहीं है example.com, इस तरह…

<html>
   <body>
      <div>
         <div><img src='./fake-top.png' /></div>   
         <div><iframe src='https:/dodgy.test/phish.html' frameBorder=0 width=650 height=220></iframe></div>
         <div><img src='./fake-bot.png' /></div>
      </div>
   </body>
</html>

...आपको यह स्वीकार करना होगा कि परिणामी दृश्य सामग्री दिखती है बिल्कुल एक स्टैंडअलोन ब्राउज़र विंडो की तरह, भले ही यह वास्तव में एक है किसी अन्य ब्राउज़र विंडो के अंदर वेब पेज.

टेक्स्ट सामग्री और क्लिक करने योग्य लिंक जो आप नीचे देख रहे हैं, से डाउनलोड किया गया था dodgy.test उपरोक्त HTML फ़ाइल में HTTPS लिंक, जिसमें यह HTML कोड है:

<html>
   <body style='font-family:sans-serif'>
      <div style='width:530px;margin:2em;padding:0em 1em 1em 1em;'>
         <h1>Example Domain</h1>

         <p>This window is a simulacrum of the real website,
         but it did not come from the URL shown above.
         It looks as though it might have, though, doesn't it?

         <p><a href='https://dodgy.test/phish.click'>Bogus information...</a>
      </div>
   </body>
</html>

एचटीएमएल टेक्स्ट को टॉपिंग और टेलिंग करने वाली ग्राफिकल सामग्री ऐसा लगता है जैसे एचटीएमएल वास्तव में आया था example.com, शीर्ष पर स्थित पता बार के स्क्रीनशॉट के लिए धन्यवाद:

यदि आप किसी अन्य ऑपरेटिंग सिस्टम, जैसे कि लिनक्स पर फर्जी विंडो देखते हैं, तो आर्टिफिस स्पष्ट है, क्योंकि आपको इसके अंदर मैक जैसी "विंडो" के साथ लिनक्स जैसी फ़ायरफ़ॉक्स विंडो मिलती है।

नकली "विंडो ड्रेसिंग" घटक वास्तव में उन छवियों के रूप में खड़े होते हैं जो वे वास्तव में हैं:

क्या आप इसके लिए गिरेंगे?

यदि आपने कभी ऐप्स के स्क्रीनशॉट लिए हैं, और फिर बाद में अपने फोटो व्यूअर में स्क्रीनशॉट खोले हैं, तो हम शर्त लगा सकते हैं कि किसी बिंदु पर आपने ऐप की तस्वीर के साथ खुद को धोखा दिया है जैसे कि यह एक चल रही कॉपी थी ऐप ही।

हम शर्त लगाएंगे कि आपने अपने जीवन में कम से कम एक ऐप-इन-ए-ऐप छवि पर क्लिक किया है या टैप किया है, और खुद को आश्चर्यचकित पाया कि ऐप क्यों काम नहीं कर रहा था। (ठीक है, शायद आपने नहीं किया है, लेकिन हमारे पास निश्चित रूप से वास्तविक भ्रम की स्थिति है।)

बेशक, यदि आप किसी फोटो ब्राउज़र के अंदर ऐप स्क्रीनशॉट पर क्लिक करते हैं, तो आपको बहुत कम जोखिम होता है, क्योंकि क्लिक या टैप वह नहीं करेंगे जो आप उम्मीद करते हैं - वास्तव में, आप छवि पर संपादन या स्क्रिबलिंग लाइनों को समाप्त कर सकते हैं। बजाय।

लेकिन जब बात आती है ब्राउज़र-में-ब्राउज़र इसके बजाय, "कलाकृति हमला", नकली विंडो में गलत निर्देशित क्लिक या टैप खतरनाक हो सकते हैं, क्योंकि आप अभी भी एक सक्रिय ब्राउज़र विंडो में हैं, जहां जावास्क्रिप्ट चल रहा है, और जहां लिंक अभी भी काम करते हैं ...

...आप उस ब्राउज़र विंडो में नहीं हैं जो आपने सोचा था, और आप उस वेबसाइट पर भी नहीं हैं जिसे आपने सोचा था।

इससे भी बुरी बात यह है कि सक्रिय ब्राउज़र विंडो में चलने वाली कोई भी जावास्क्रिप्ट (जो आपके द्वारा देखी गई मूल धोखेबाज साइट से आई है) यथार्थवाद जोड़ने के लिए एक वास्तविक ब्राउज़र पॉपअप विंडो के कुछ अपेक्षित व्यवहार का अनुकरण कर सकती है, जैसे इसे खींचना, उसका आकार बदलना, और अधिक।

जैसा कि हमने शुरुआत में कहा था, यदि आप एक वास्तविक पॉपअप विंडो की प्रतीक्षा कर रहे हैं, और आपको कुछ ऐसा दिखाई देता है की तरह लगता है एक पॉपअप विंडो, यथार्थवादी ब्राउज़र बटन के साथ पूर्ण और एक पता बार जो आपकी अपेक्षा से मेल खाता है, और आप थोड़ी जल्दी में हैं…

…हम पूरी तरह से समझ सकते हैं कि आप नकली विंडो को असली के रूप में कैसे गलत पहचान सकते हैं।

स्टीम गेम्स लक्षित

समूह-आईबी . में अनुसंधान हमने ऊपर उल्लेख किया है, वास्तविक दुनिया बिनबी हमला जो शोधकर्ताओं ने किया था स्टीम गेम्स को एक लालच के रूप में इस्तेमाल किया।

एक वैध दिखने वाली साइट, जिसके बारे में आपने पहले कभी नहीं सुना होगा, आपको आगामी गेमिंग टूर्नामेंट में स्थान जीतने का मौका देगी, उदाहरण के लिए…

... और जब साइट ने कहा कि वह स्टीम लॉगिन पेज वाली एक अलग ब्राउज़र विंडो को पॉप अप कर रही है, तो उसने वास्तव में इसके बजाय एक ब्राउज़र-इन-द-ब्राउज़र फर्जी विंडो प्रस्तुत की।

शोधकर्ताओं ने नोट किया कि हमलावरों ने उपयोगकर्ता नाम और पासवर्ड के लिए जाने के लिए न केवल बिटबी ट्रिकरी का उपयोग किया, बल्कि स्टीम गार्ड पॉपअप को दो-कारक प्रमाणीकरण कोड के लिए भी अनुकरण करने का प्रयास किया।

सौभाग्य से, ग्रुप-आईबी द्वारा प्रस्तुत किए गए स्क्रीनशॉट से पता चलता है कि इस मामले में जिन अपराधियों के साथ वे घटित हुए, वे अपने स्कैमरी के कला-और-डिज़ाइन पहलुओं के बारे में बहुत सावधान नहीं थे, इसलिए अधिकांश उपयोगकर्ताओं ने शायद फ़ेकरी को देखा।

लेकिन यहां तक ​​​​कि एक अच्छी तरह से सूचित उपयोगकर्ता जल्दी में, या किसी ऐसे ब्राउज़र या ऑपरेटिंग सिस्टम का उपयोग करने वाले व्यक्ति से, जिससे वे परिचित नहीं थे, जैसे कि किसी मित्र के घर पर, हो सकता है कि उसने अशुद्धियों पर ध्यान न दिया हो।

इसके अलावा, अधिक धूर्त अपराधी लगभग निश्चित रूप से अधिक यथार्थवादी नकली सामग्री के साथ आएंगे, उसी तरह जैसे कि सभी ईमेल स्कैमर अपने संदेशों में वर्तनी की गलतियाँ नहीं करते हैं, इस प्रकार संभावित रूप से अधिक लोगों को अपनी पहुंच क्रेडेंशियल्स को दूर करने के लिए प्रेरित करते हैं।

क्या करना है?

यहां तीन युक्तियां दी गई हैं:

• ब्राउज़र-इन-द-ब्राउज़र विंडो वास्तविक ब्राउज़र विंडो नहीं हैं। यद्यपि वे ऑपरेटिंग सिस्टम स्तर की विंडो की तरह लग सकते हैं, बटन और आइकन के साथ जो वास्तविक सौदे की तरह दिखते हैं, वे ऑपरेटिंग सिस्टम विंडो की तरह व्यवहार नहीं करते हैं। वे वेब पेजों की तरह व्यवहार करते हैं, क्योंकि वे यही हैं। यदि आपको संदेह है, संदिग्ध विंडो को मुख्य ब्राउज़र विंडो के बाहर खींचने का प्रयास करें जिसमें यह शामिल है. एक वास्तविक ब्राउज़र विंडो स्वतंत्र रूप से व्यवहार करेगी, इसलिए आप इसे मूल ब्राउज़र विंडो के बाहर और बाहर ले जा सकते हैं। एक नकली ब्राउज़र विंडो को वास्तविक विंडो के अंदर "कैद" किया जाएगा, भले ही हमलावर ने यथासंभव वास्तविक दिखने वाले व्यवहार को अनुकरण करने के लिए जावास्क्रिप्ट का उपयोग किया हो। यह जल्दी से दूर कर देगा कि यह एक वेब पेज का हिस्सा है, न कि अपने आप में एक सच्ची विंडो।
• संदिग्ध खिड़कियों की सावधानीपूर्वक जांच करें। वेब पेज के अंदर ऑपरेटिंग सिस्टम विंडो के लुक और फील का वास्तविक रूप से मज़ाक उड़ाते हुए बुरी तरह से करना आसान है, लेकिन अच्छी तरह से करना मुश्किल है। नकली और असंगति के गप्पी संकेतों को देखने के लिए उन अतिरिक्त कुछ सेकंड का समय लें।
• यदि संदेह है, तो इसे न दें। उन साइटों पर संदेह करें जिनके बारे में आपने कभी नहीं सुना है, और आपके पास भरोसा करने का कोई कारण नहीं है, जो अचानक आपको किसी तृतीय-पक्ष साइट के माध्यम से लॉगिन करना चाहते हैं।

कभी भी जल्दबाजी न करें, क्योंकि अपना समय लेने से आपको यह देखने की संभावना बहुत कम हो जाएगी कि आप क्या कर रहे हैं सोचना क्या वास्तव में क्या देखने के बजाय है is वहाँ.

तीन शब्दों में: रुकना। सोचना। जोड़ना।

---

ऐप विंडो की तस्वीर की विशेष रुप से प्रदर्शित छवि जिसमें मैग्रीट की "ला ​​ट्रैहिसन डेस इमेजेज" की तस्वीर की छवि है, जिसके माध्यम से बनाया गया है विकिपीडिया.

---