Οι Προοδευτικές Εφαρμογές Ιστού (
PWA
), ένας τύπος εφαρμογής που παραδίδεται μέσω ενός προγράμματος περιήγησης ιστού, μπορούν να παραβιαστούν για να χρησιμοποιηθούν για phishing, δημιουργώντας αυθεντικές, πειστικές πλατφόρμες συλλογής δεδομένων, προειδοποιούν οι ειδικοί.
Ο ερευνητής mr.d0x, μια αξιοσημείωτη φυσιογνωμία στην κοινότητα της κυβερνοασφάλειας, ιδιαίτερα γνωστή για τη δημιουργία και την κοινή χρήση εργαλείων και τεχνικών που είναι χρήσιμες για δοκιμές διείσδυσης, κόκκινη ομαδοποίηση και έρευνα ασφάλειας, περιέγραψε τη δημιουργία μιας νέας εργαλειοθήκης phishing που επιτρέπει στους ανθρώπους να δημιουργούν PWA που μπορεί να εμφανίζει εταιρικές φόρμες σύνδεσης και ακόμη και να συνοδεύεται από μια ψεύτικη γραμμή διευθύνσεων, η οποία δείχνει την αυθεντική διεύθυνση URL, και έτσι φαίνεται πιο αξιόπιστη.
“Τα PWA ενσωματώνονται καλύτερα στο
λειτουργικό σύστημα
(δηλαδή έχουν το δικό τους εικονίδιο εφαρμογής, μπορούν να προωθήσουν ειδοποιήσεις) και επομένως μπορούν να οδηγήσουν σε μεγαλύτερη αφοσίωση για ιστότοπους”, εξήγησε ο mr.d0x. «Το ζήτημα με τα PWA είναι ότι είναι δυνατός ο χειρισμός της διεπαφής χρήστη για σκοπούς phishing», πρόσθεσε.
Κυκλοφόρησαν πρότυπα ηλεκτρονικού ψαρέματος
Τα PWA δεν διαφέρουν πολύ από τις κανονικές εφαρμογές. Χρειάζεται ακόμα λήψη και εγκατάσταση, θα εμφανίζονται στη λίστα των εγκατεστημένων προγραμμάτων και εφαρμογών και θα εμφανίζουν μια συντόμευση όπου ορίζεται από τον χρήστη. Η μόνη διαφορά είναι ότι μόλις ο χρήστης τρέξει την εφαρμογή, θα ανοίξει στο πρόγραμμα περιήγησης. Τούτου λεχθέντος, η διαδικασία να κάνετε τους ανθρώπους να εγκαταστήσουν ένα κακόβουλο PWA δεν θα διαφέρει πολύ από τη διαδικασία εγκατάστασης κακόβουλου λογισμικού.
Ωστόσο, θα μπορούσε να είναι πιο πειστικό από τα κανονικά προγράμματα και ως εκ τούτου θα μπορούσε να αποδώσει καλύτερα όταν πρόκειται για τη συλλογή δεδομένων και την κλοπή διαπιστευτηρίων.
Ο Mr.d0x κυκλοφόρησε πρότυπα phishing PWA στο GitHub, έτσι ώστε και άλλοι ερευνητές να μπορούν να παίξουν με τα εργαλεία.
“Οι χρήστες που δεν χρησιμοποιούν συχνά PWA μπορεί να είναι πιο επιρρεπείς σε αυτήν την τεχνική καθώς μπορεί να αγνοούν ότι τα PWA δεν πρέπει να έχουν γραμμή URL. Παρόλο που το
Chrome
φαίνεται να έχει λάβει μέτρα εναντίον αυτού, εμφανίζοντας
περιοδικά
τον πραγματικό τομέα στη γραμμή τίτλου , νομίζω ότι οι συνήθειες των ανθρώπων να «ελέγχουν τη διεύθυνση URL» θα καταστήσουν αυτό το μέτρο λιγότερο χρήσιμο», είπε ο ερευνητής
BleepingComputer
.
Τέλος, προειδοποίησε ότι τα περισσότερα προγράμματα ευαισθητοποίησης για την ασφάλεια δεν περιλαμβάνουν ακόμη το PWA phishing.
Μέσω
BleepingComputer
VIA:
TechRadar.com/
0