Nouveau type d'attaque par phishing : le tabnagging

Mis à jour 29 May 2010:

Comme nous pouvions nous y attendre l'équipe travaillant sur le célèbre plugin NoScript vient de mettre à jour à la version 1.9.9.81. La première info de cette mise à jour est la suivante:

Citation:

---

Experimental protection against Aviv Raff's scriptless tabnagging variant, by blocking refreshes triggered on unfocused untrusted tabs. See the changelog for more details.

---

Citation:

---

Protection expérimentale contre la variante sans scripte du tabnagging de d'Aviv Raff, en bloquant les réaffichages déclenchés par les onglets non sures et qui non pas le focus. Voir le changelog pour plus de details.

---

Source: Plugin Noscript Changelog

Nouvelle au 26 May 2010:

Bonjour à tous,

Comme beaucoup d'entre nous ont pu l'apprendre, et comme certains vont le découvrir ici, un nouveau type d'attaque par phishing a été développée (pour le moment, comme Proof Of Concept).

Rappel:

L'attaque par phishing est une attaque trompant la vigilance d'un utilisateur en imitant le plus parfaitement possible un site, afin de demander des informations personnelles ( numéro de carte bancaires par exemple ) sans éveiller les soupçons. Bien sur, un des moyens simples de vérifier est de regarder correctement l'adresse du site, mais quelque fois c'est juste un caractère de différent, par rapport au site officiel. ( Soyez vigilant, ne répondez pas aux courriels bizarres vous proposant de l'argent par un cousin nigérien du roi )

Qu'est ce que le tabnagging?

C'est une toute nouvelle technique de phishing qui va transformer la page visitée lorsque vous ne la regarderez plus. Plus précisément, l'utilisateur va changer d'onglet, et pendant que le site sait que vous êtes sur un onglet différent, il va changer le nom de la page dans l'onglet ainsi que son icone.

Noscript ne bloquerait (encore) pas cette attaque

:arrow: Pensez vous que cette attaque va s'intensifier dans les jours/mois à venir?
:arrow: Pensez vous que c'est une méthode efficace?
:arrow: Avez vous vos propres moyens pour savoir si le site est un site piégé?


Sources : Complète description en anglais
http://vimeo.com/12003099

A priori, il est nécessaire de mettre en route un code javascript pour cette technique.
Il peut se trouver du genre dans un "body onload" ?
Du coup le clic sur un site que l'on ne connait pas comme totalement sécurisé peut permettre de lancer ce genre d'attaque...
Les liens html vont devenir de plus en plus dangereux !!!
Pour éviter ce genre d'attaque, le navigateur devrait pouvoir "surveiller" les onglets et alerter l'utilisateur si l'intitulé de l'un d'entre eux a été modifié alors qu'il n'était pas actif...

:arrow: Pensez vous que cette attaque va s'intensifier dans les jours/mois à venir?

Vu qu'elle est assès simple à mettre en place, je suis sûr que des petits malins vont essayer de l'utiliser.

:arrow: Pensez vous que c'est une méthode efficace?

Elle demande une intervention peu habituelle de l'utilisateur : changer d'onglet pour y revenir après. Quand je vois l'utilisation de leur navigateur par certaines personnes qui ne connaissent même pas l'existance des onglets.

:arrow: Avez vous vos propres moyens pour savoir si le site est un site piégé?

Pas ouvrir trop d'onglets, comme ça je me souvient de tous ce qui était ouvert. De plus, sur mon netbook, je suis un peu limité en données chargées pour avoir une navigation fluide.

Les déployeurs de navigateurs ont-ils une contre-attaque à proposer ? Les Chrome, FireFox, Opera, IE, Safari ont-ils dans leur musette une quelconque parade ?:?

:arrow: Avez vous vos propres moyens pour savoir si le site est un site piégé?

Personnellement, j'avais dit ça, à cause que j'ai un emplacement spécifique pour chaque onglet ( ou presque ) et que tout ce qui sorte de l'ordinaire, ne sont ouvert que 10 minutes ... et les autres, c'est des docs :D
Donc je pense que si un onglet et pas à la bonne place, je risque de vouloir le replacer ... et du coup, avec Gmail, je vais voir qu'il y a doublon :aie:

Le code est dans la page de PCImpact et ici

Pour les moyens de protection, je n'en vois pas beaucoup, à part bloquer totalement ce genre de code ... si possible.

Aujourd'hui l'équipe de NoScript vient de sortir une mise à jour tentant de bloquer le tabnagging. Avec cette version 1.9.9.81, nous sommes un peu plus en sécurité, mais pour le moment, ce n'est qu'une protection expérimentale.

Dingue ! Je pense que j'aurais pu me faire avoir...
Je serais plus vigilant :) Merci pour l'info.

Encore une fois, Google inaugure. Ils sont les premiers à patcher une « non-faille » de sécurité :P

Citation:

---

Update: Many people have reported that the attack doesn’t change the favicon in Chrome. This was due to a bug in Chrome which has been fixed in the version 6.0.408.1. Chrome is fully susceptible to this attack.

---

Citation:

---

Mise à jour : De nombreuses personnes ont signalé que l'attaque ne change pas la favicone sous Chrome. C'était dû à un bug dans Chrome, corrigé à la version 6.0.408.1. Chrome est pleinement sensible à cette attaque.

---

En anglais par contre, nous pouvons trouver une description détaillé ici: http://www.azarask.in/blog/post/a-ne...ishing-attack/

(Merci à mrjay42 pour m'avoir envoyer ce lien :). Vous pouviez les ajouter dans une réponse ici, par vous même ;) )

Oula un homme prevenu en vaut deux !
Je ferai attention à ça aussi .... :?

D'une manière générale, je fuis tout site qui recharge automatiquement la page en cours, c'est une entorse aux règles d'accessibilité, et personnellement, je trouve cela très désagréable !

Cette nouvelle technique,va causer beaucoup de dégât. J'en suis sûr.