Per più di un anno, il mobile browser come Google Chrome, Firefox e Safari, non è riuscito a mostrare phishing avvertenze per gli utenti, secondo una ricerca pubblicata questa settimana.
“Abbiamo identificato un buco nella protezione della parte superiore del mobile web browser”, il team di ricerca ha detto.
“Incredibilmente, mobile, Chrome, Safari e Firefox non è riuscito a mostrare qualche blacklist avvertenze tra la metà del 2017 e la fine del 2018, nonostante la presenza delle impostazioni di protezione implicita blacklist di protezione.”
Il problema solo ha colpito il browser mobile che citato in giudizio la Navigazione Sicura di Google link nella lista nera di tecnologia.
Il team di ricerca-costituita da scienziati dell’Arizona State University e PayPal personale-notifica di Google del problema, e il problema è stato risolto a fine 2018.
“A seguito della nostra comunicazione, abbiamo imparato che l’incoerenza mobile GSB blacklist è stato a causa di una transizione a un nuovo mobile API progettato per ottimizzare l’utilizzo dei dati, che in ultima analisi, non funziona come previsto,” i ricercatori hanno detto.
PhishFarm progetto di ricerca
La scoperta di questo importante bug di sicurezza è venuto durante una ricerca accademica, il progetto denominato PhishFarm, iniziato nei primi mesi del 2017.
Durante PhishFarm, i ricercatori hanno creato e distribuito 2.380 visite pagine di phishing imitando la pagina di login di PayPal. I ricercatori non misura quanto velocemente il loro Url atterrato sulla blacklist di URL. Questo tipo di ricerca è stato fatto in passato.
Invece, si sono concentrati sulla distribuzione di pagine di phishing con “cloaking” tecniche volte a ingannare URL blacklist tecnologie, e poi registrare il tempo impiegato per queste “occultate” pagine di phishing per terra, nell’elenco dei “siti pericolosi” – o se sono atterrati a tutti.
Per PhishFarm, i ricercatori hanno testato URL blacklist come la Navigazione Sicura di Google, Microsoft SmartScreen, e a quelli gestiti da US-CERT, l’Anti-Phishing Working Group, PayPal, PhishTank, Netcraft, WebSense, McAfee, e ESET.
Immagine: Oest et al.
Inoltre, il team di ricerca dell’pagine di phishing utilizzato anche sei (anzi cinque) tecniche di cloaking ricercatori hanno detto che ho visto usare da phishing kit nel mondo reale:
– Mascherano – consentire a tutti gli utenti per visualizzare la pagina phishing, ovvero un non-mantello modalità utilizzate come base per tutti i rilevamenti
– Mantello B – consentire solo agli utenti da dispositivi mobili
– Mantello C – consentire solo NOI utenti da dispositivi desktop
– Mantello D – consentire non solo NOI utenti da dispositivi desktop
– Mantello E blocco di visitatori provenienti da indirizzi IP noti per essere associati con i fornitori di soluzioni di sicurezza
– Mantello F – consentire solo i browser in cui è abilitato JavaScript
Immagine: Oest et al.
“Abbiamo trovato che le semplici tecniche di cloaking rappresentante del mondo reale attacchi, compresi quelli basati sulla geolocalizzazione, tipo di dispositivo o JavaScript – è efficace nel ridurre la probabilità di blacklist di oltre il 55% in media,” i ricercatori hanno detto.
Risultati sono diversi per ogni URL blacklist e tecnica di cloaking [controllare i grafici alla fine del documento di ricerca], ma la cosa che più si sono distinti durante la loro ricerca è stata che i mantelli A, E, e F avuto zero rilevamenti sul mobile del browser che state utilizzando Navigazione Sicura di Google URL blacklist.
Quando i ricercatori hanno ripetuto il test a metà del 2018, hanno ottenuto gli stessi risultati, al punto che si sono resi conto che la Navigazione Sicura di Google la tecnologia non era perfettamente funzionante su dispositivi mobili. [Mantello di Un era effettivamente un “no mantello”, il che significa che la Navigazione Sicura di non allertare gli utenti riguardo le pagine di phishing, anche se hanno utilizzato tecnologie di occultamento o non — efficacemente in tutti].
Il problema è stato finalmente risolto entro la fine del 2018, i ricercatori hanno detto.
Di più su questa ricerca può essere trovato in un articolo intitolato “PhishFarm: Un Framework Scalabile per Misurare l’Efficacia delle Tecniche di Evasione Contro il Browser di Phishing Blacklist”, disponibile per il download in formato PDF da qui, qui, o qui.
Chiusura @IEEESSP #sp19 Adam Oest presenta “PhishFarm: Un Framework Scalabile per Misurare l’Efficacia delle Tecniche di Evasione Contro il Browser di Phishing Blacklist” pic.twitter.com/gTdQYYCIhX
— Elissa Redmiles (@eredmil1) 22 Maggio 2019
Relative cybersecurity copertura:
Di ricerca di Google: la Maggior parte di hacker-per-un servizio di noleggio fraudsAndroid e dispositivi iOS influenzato dalla nuova calibrazione del sensore di attackUK dice che ha avvertito di 16 alleati della NATO di hacking russo activitiesRoot conto configurazioni errate trovato nel 20% dei 1.000 Mobile containersSome Elasticsearch caratteristiche di sicurezza sono ora liberi per everyoneMicrosoft rilascia la nuova versione di Superficie di Attacco Analizzatore di utilità Perché cybersecurity pro desidera condividere le informazioni per combattere le minacce TechRepublicGoogle prende di mira siti web fraudolenti che con il nuovo Chrome avviso CNET
Argomenti Correlati:
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati