Атака «людина в браузері»

Людина в браузері (англ. Man-in-the-browser, скорочено MITB, MitB, MIB), форма інтернет-загрози, походить з людини посередині (MITM), є трояном, який заражає веббраузер, спричиняючи уразливість в безпеці браузера. Це робиться, щоб змінювати вебсторінки, вміст повідомлень або створювати додаткові операції. Всі ці дії виконуються в повністю прихованому режимі, невидимому для користувача і вебсервера. Атака MitB матиме успіх попри наявність механізмів захисту як TLS чи PKI. Атаки MitB можуть бути протиставлені шляхом використання перевірки транзакції поза зоною, хоча навіть СМС перевірка може інфікувати телефон шкідливою програмою. Троян може бути виявленим і видаленим за допомогою антивірусного програмного забезпечення з ймовірністю успіху 23 % проти Zeus в 2009 році, але вже з нижчим показником в 2011. У доповіді 2011 року дійшли висновку, що до необхідності введення додаткових заходів, по відношенню до верхніх шарів антивірусу. З цим пов'язана більш проста атака, BitB. Більшість професіоналів в сфері фінансових послуг, за результатами досліду, вважають атаку «людина в браузері» великою загрозою для онлайн-банкінгу. == Визначення == Під час атаки «людина в браузері», троян впроваджується в операційну систему або програму та встановлює розширення браузера. Усі зміни запускаються при наступному старті інтернет-оглядача. Зазвичай «людина в браузері» з'являється в образі об'єктів, модулів підтримки (Browser Helper Object), елементів керування ActiveX, розширень для браузера, доповнень, плагінів чи перехваті API функцій. Потім, у випадку звичайної, не універсальною атаки, при кожному завантаженні вебсторінки в браузер, шкідливе розширення перевіряє інтернет-адресу і завантажує сторінки в свій список сайтів-мішеней. Якщо знаходиться відповідність - розширення перехоплює або модифікує дані, введені в вебформи на цільовому сайті і відправлені до вебсерверу, розповіли фахівці з eScan. Згідно з інформацією, представленою Trusteer, універсальний тип атак «людина-в-браузері» не орієнтований на конкретні сайти. Подібні програми можуть обійти багатофакторну автентифікацію. Як тільки вебсайт банку підтвердить правильність введених клієнтом логіну і пароля, троян підмінить дані транзакції. Шкідливий код також здатний забезпечити видимість успішного завершення транзакції, підміняючи зміст, зображений браузером. «Людина в браузері» - дуже підступний тип атак, тому що ні банк, ні користувач не можуть виявити її, незважаючи на багатофакторну автентифікацію, капчі або застосування інших способів автентифікації. Експерти з безпеки виявили, що більшість інтернет-користувачів (73 %) не може розрізнити реальні і підроблені спливаючи попередження, а також не здатні розпізнати контент, створений шкідливим програмним забезпеченням. Реалізуючи даний тип атак, шкідливе розширення браузера збирає всі дані, введені жертвою на будь-яких вебсайтах. При цьому не потрібна додаткова обробка зібраної інформації для виділення автентифікаційних та інших визначених хакером даних, тобто «універсальна атака людина-в-браузері» проводиться в режимі реального часу. «Збір в реальному часі всієї інформації, що вводиться користувачем на відвідуваних сайтах, істотно розширює можливості хакерів по викраденню фінансових акаунтів, - прокоментували відкриття Trusteer експерти eScan в Росії і країнах СНД. - Раніше хакери, що використовували атаки "людина-в-браузері“, були обмежені по числу цільових сайтів, або їм було потрібно витрачати додатковий час на витягнення ідентифікаційних даних з усієї маси зібраної інформації. Тепер же перехоплені дані можуть використовуватися негайно, наприклад, відразу ж застосовуватися для вчинення незаконних переказів або продаватися на "чорному“ ринку. Свіжа, актуальна інформація для хакерів завжди найбільш цінна». === Ін'єкція команд === Корисна в тих випадках, коли автентифікація проводиться лише один раз. В таких випадках перехоплення пакетів даних, які передаються між двома комп'ютерами, є марним, але імовірність викрадення вже авторизованої сесії є мінімальною. Загрози: Ін'єкція команд на сервер; Емуляція підроблених відповідей до клієнта. === Шкідливе впровадження коду === Вставка шкідливого коду в вебсторінки або електронною поштою (JavaScript, троянів, вірусів...). Загрози: Модифікація на льоту бінарних файлів під час фази завантаження (вірус, бекдор...). === Атака «людина в мобільному» === Шпигунські мобільні віруси типу «людина в мобільному» (англ. man-in-the-mobile, MitMo) можуть подолати позасмугову СМС перевірку транзакцій. ZitMo (Zeus-In-The-Mobile) сам по собі не є трояном «людина в браузері» (хоча він виконує подібну проксі-функцію на вхідних SMS-повідомленнях), він є мобільним вірусом, який запропоновано для встановлення на мобільний телефон зараженим комп'ютером. Перехоплюючи всі вхідні SMS-повідомлення, він обходить двофакторну аутентифікацію на базі SMS-банкінгу для Windows Mobile, Android, Symbian, BlackBerry. ZitMo може бути виявлений антивірусом, який працює на мобільному пристрої. SpitMo (SpyEye-In-The-Mobile, SPITMO), подібний до ZitMo. == Захист == Захист від атак «людина в браузері» пов'язаний зі значними труднощами, оскільки шкідливе розширення браузера діє як можна більш непомітніше. Експерти рекомендують користувачам наступні методи боротьби з даною загрозою: виконувати базові правила інформаційної безпеки (не викачувати файли з невідомих ресурсів, своєчасно оновлювати антивіруси, системне і прикладне програмне забезпечення); використовувати антивірусну програму, що запобігає проникненню вірусу в браузер, яка захистить не тільки від атак «людина-в-браузері», а й від заражень іншими шкідливими та рекламними розширеннями; в налаштуваннях браузера заборонити завантаження розширень і доповнень браузера з недовірених сайтів; використовувати для проведення фінансових операцій «чисту», захищену версію браузера з флеш-карти. На жаль, кінцеві споживачі все ще уразливі для атак типу «людина посередині». Найбільш ефективним контрзаходом вважається автентифікація по зовнішньому каналу (Out-Of-Band, OOB), оскільки зловмисник, що застосовує методику MITM, протоколює лише один канал зв'язку. ООВ передбачає окремий канал для аутентифікації, щоб верифікувати і авторизувати транзакції з високим ризиком. Система ООВ передає користувачеві інформацію про транзакції, наприклад, електронною поштою, SMS або телефоном, і для підтвердження отримання вимагає введення прикладеного одноразового пароля. == Див. також == Міжсайтовий скриптінг Формграббер Інформаційна загроза Інтернет-банкінг Токен автентифікації Хронологія комп'ютерних вірусів та хробаків == Посилання == [Архівовано 14 травня 2015 у Wayback Machine.] [Архівовано 17 серпня 2016 у Wayback Machine.] [Архівовано 22 грудня 2015 у Wayback Machine.] Кількість атак ZeuS під виглядом трояну [Архівовано 7 березня 2016 у Wayback Machine.] Інструменти ZeuS [Архівовано 16 березня 2016 у Wayback Machine.] [Архівовано 4 березня 2016 у Wayback Machine.] [Архівовано 4 квітня 2016 у Wayback Machine.] [Архівовано 2 квітня 2016 у Wayback Machine.] [Архівовано 3 квітня 2016 у Wayback Machine.]

Source: original