Adresní řádek v Chromu může útočník „nahradit“ falešným

Autoři phishingových hrozeb obvykle potřebují pouze dobrý nápad, jak oklamat uživatele. Otevřená vrátka jim přitom nechává Chrome pro Android, který nabízí hackerům poměrně snadnou možnost, jak zobrazit falešný adresní řádek. Na chybu přišel vývojář James Fisher, který informaci zveřejnil na svém blogu. Útočník zaprvé může využít toho, že mobilní Chrome při posouvání stránky směrem dolů skryje horní lištu s adresním řádkem. Proto může být nahrazena falešnou lištou, která samozřejmě nefunguje, ale toho si uživatel nemusí všimnout, pokud se jí nedotkne. Falešný adresní řádek potom může obsahovat zcela jinou adresu URL, než na které se uživatel ve skutečnosti nachází, a samozřejmě doplněnou o certifikát HTTPS.

 

 

Skutečný adresní řádek by se potom měl zobrazit při posouvání stránky nahoru. I to ovšem hackeři mohou obejít, a to pomocí prvku overflow:scroll. Výsledkem je „scroll jail“, v doslovném překladu „skrolovací vězení“. Uživatel má dojem, že posouvá skutečnou stránku, ale ve skutečnosti dochází pouze ke skrolování uvnitř dané prvku, nebo jinak řečeno „v prohlížeči uvnitř prohlížeče“. Chrome tedy nemá potřebu ukazovat skutečnou horní lištu a celý podvod je tedy doveden skoro k dokonalosti. Možností, jak by toho mohl případný útočník zneužít, se nabízí nespočet. Stačí vytvořit stránku banky či sociální sítě, která bude vypadat jako skutečná. Nepozorný uživatel se potom může nechat zmást falešným adresním řádkem. I když si nakonec může všimnout podezřelého chování, možná to bude až ve chvíli, kdy zadá do formuláře své přihlašovací údaje, číslo platební karty nebo jiné citlivé informace.

 

Jak lze manipulovat s adresním řádkem si můžete vyzkoušet sami na stránce vývojáře, který chybu objevil. Stačí daný odkaz otevřít v mobilní verzi Chromu a skrolovat po stránce směrem dolů. Při našem testování se prohlížeč nejprve nenechal oklamat a na displeji se zobrazily dva adresní řádky – pravý a falešný. Druhý pokus už vyšel tak, jak vývojář zamýšlel. Pokud byste se někdy dostali na podezřelou webovou stránku, existuje jeden trik, jak v Chromu pro Android obejít „scroll jail“ a vyvolat skutečný adresní řádek. Stačí telefon uzamknout (pomocí tlačítka na boku) a následně opět odemknout.

 

via 9to5google.com