Информационная безопасность угрозы/решения. Атаки `Boy In The Browser` на подъеме

Исследователи из Imperva обнаружили новую атаку, нацеленную на банки, ретейлеров и даже Google. Новый вид нападения сходен с уже известным типом - с использованием троянов, логгеров клавиатуры - с так называемой man-in-the-browser (MITB) атакой. Атака "boy-in-the-browser" (BITB) – так назвали упрощенную версию MITB – может быть относительно новой, но она эффективна, легка и предназначена для пользователей банков, онлайн магазинов и даже Google.

"Она перенаправляет трафик (жертвы) без уведомления самого пользователя… Атака очень эффективна, потому что она быстро изменяет себя же, поэтому антивирус не может ее обнаружить. Это замечательная особенность для быстрой атаки", - говорит Ноа Бар-Йосеф, старший специалист по безопасности в Imperva, которая сегодня выпустила предупреждение безопасности, связанное с такой техникой атаки, которую исследователи обнаружили на практике.

BITB на самом деле – упрощенная версия MITB, с помощью которой хакер заражает пользователя трояном, например через скачивание файла или через зараженную ссылку на сайте. Троян перенастраивает хост-файл пользователя и перенаправляет трафик жертвы к – скажем, банку или онлайн-магазину – на специальный сервер хакера, представленный пользователю под видом этого сайта. Затем хакер может перехватить или изменить операции. "Эту атаку сложно обнаружить", - говорит Бар-Йосеф, "потому что жертва видит тот URL, который и запросила".

Бар-Йосеф говорит, что BITB недорогая и относительно легкая атака для получения денег. Девять банков Латинской Америки подверглись такой атаке, хакеры также пытались обмануть Google. В атаке Google хакеры перенастроили адреса различных региональных серверов Google, к примеру, www.google.co.uk, который был перенаправлен на URL хакеров. Когда жертва пользуется поисковиком Google, запрос отправляется на сервер хакера, позволяя последнему получать ссылки или красть куки, например.

Довольно редкую BITM атаку было довольно легко обнаружить, потому что страница не соответствовала официальному сайту Google, говорит Бар-Йосеф, но в большинстве случаев, с подобными атаками очевидных улик нет.

Рекомендации Imperva по поводу этих атак находятся тут.

18 февраля, 2011

Безопасникам

Атаки `Boy In The Browser` на подъеме

Клиенты виртуального Сбербанка стали жертвами хакеров

Сотрудники Банка \"Финансы и Кредит\" задержали мошенника с банкоматной накладкой

Хакер, обвиняемый в хищении $10 млн, получил пять лет условно

В 2010 г. киберпреступники заработали около 2,5 млрд евро в России

В ботнете нашли доступ к счетам клиентов в 96 московских банках

Финансовые организации всерьез задумались о стандартизации ИТ-безопасности

SpyEye и Zeus объединились

Платежные системы - следующая цель Zeus

Троян для Android подслушивает номера кредитных карт

Читалка

Вступил в силу ГОСТ Р 71207-2024 «Защита информации. Разработка безопасного программного обеспечения. Статический анализ программного обеспечения. Общие требования».

Вступил в силу ГОСТ Р 71207-2024 «Защита информации. Разработка безопасного программного обеспечения. Статический анализ программного обеспечения. Общие требования».

Вступил в силу ГОСТ Р 71206-2024 «Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С/С++. Общие требования».

Вступил в силу ГОСТ Р 71206-2024 «Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С/С++. Общие требования».

ФСТЭК России опубликованы «Сведения о принятых национальных и международных стандартах за I квартал 2024 года»

ФСТЭК России опубликованы «Сведения о принятых национальных и международных стандартах за I квартал 2024 года»

ФСТЭК России опубликован проект национального стандарта ГОСТ Р «Защита информации. Формальная модель управления доступом.

ФСТЭК России опубликован проект национального стандарта ГОСТ Р «Защита информации. Формальная модель управления доступом.

ФСТЭК России опубликован проект национального стандарта ГОСТ Р «Защита информации. Формальная модель управления доступом. Часть 3. Рекомендации по разработке»

ФСТЭК России опубликован проект национального стандарта ГОСТ Р «Защита информации. Формальная модель управления доступом. Часть 3. Рекомендации по разработке»

Календарь мероприятий

Наши медиауслуги

Новый номер

Подписаться на новости BIS Journal / Медиа группы Авангард

Стать автором BIS Journal