รูปถ่ายที่สามารถขโมยบัญชี Facebook ของคุณ

ในงานประชุมการรักษาความปลอดภัยคอมพิวเตอร์แบล็กฮอลในลาสเวกัสในสัปดาห์หน้านักวิจัยจะสาธิตซอฟต์แวร์ที่พัฒนาขึ้นเพื่อขโมยข้อมูลรับรองออนไลน์จากผู้ใช้เว็บไซต์ยอดนิยมเช่น Facebook, eBay และ Google

การโจมตีจะต้องอาศัยไฟล์ไฮบริดที่มีลักษณะคล้ายกับโปรแกรมต่างๆ นักวิจัยสามารถหลีกเลี่ยงระบบรักษาความปลอดภัยและดูแลบัญชีผู้ใช้เว็บไซด์ที่ใช้เว็บไซต์เหล่านี้ได้

"เราสามารถที่จะพัฒนา Java ได้ แอ็ปเพล็ตที่ตั้งใจและเจตนาเป็นภาพ "John Heasman รองประธานฝ่ายวิจัยของ NGS Software กล่าวว่า

พวกเขาเรียกไฟล์ประเภทนี้ว่า GIFAR ซึ่งเป็นรูปแบบ GIF (รูปแบบการแลกเปลี่ยนกราฟิก) และ JAR (Java Archive) ไฟล์สองประเภทที่ผสมกัน ที่ Black Hat นักวิจัยจะแสดงวิธีการสร้าง GIFAR ในขณะที่ละเว้นรายละเอียดสำคัญบางอย่างเพื่อป้องกันไม่ให้ใช้งานได้ทันทีในการโจมตีอย่างกว้างขวาง

ในเว็บเซิร์ฟเวอร์ไฟล์มีลักษณะเหมือนกับไฟล์. gif, อย่างไรก็ตามเครื่องเสมือน Java ของเบราเซอร์จะเปิดขึ้นเป็นไฟล์ Java Archive และเรียกใช้เป็นแอปเพล็ต ทำให้ผู้โจมตีมีโอกาสในการเรียกใช้โค้ด Java ในเบราว์เซอร์ของเหยื่อ สำหรับส่วนของเบราว์เซอร์ถือว่าแอพเพล็ตที่เป็นอันตรายนี้ราวกับว่ามันถูกเขียนขึ้นโดยนักพัฒนาเว็บไซต์

นี่คือวิธีที่การโจมตีจะทำงานได้: คนเลวจะสร้างโปรไฟล์หนึ่งในเว็บไซต์ยอดนิยมเหล่านี้เช่น Facebook เช่น - และอัปโหลด GIFAR เป็นรูปภาพในไซต์ จากนั้นพวกเขาก็จะหลอกลวงให้เหยื่อเข้าสู่เว็บไซต์ที่เป็นอันตรายซึ่งจะบอกเบราว์เซอร์ของเหยื่อเพื่อเปิด GIFAR ณ จุดนั้นแอปเพล็ตจะทำงานในเบราว์เซอร์ทำให้คนร้ายเข้าถึงบัญชี Facebook ของเหยื่อ

การโจมตีสามารถทำงานได้บนไซต์ใด ๆ ที่อนุญาตให้ผู้ใช้อัพโหลดไฟล์ได้แม้กระทั่งบนเว็บไซต์ที่ใช้ในการอัปโหลด รูปถ่ายบัตรธนาคารหรือแม้แต่ Amazon.com พวกเขากล่าวว่า

เนื่องจาก GIFAR เปิดขึ้นโดย Java พวกเขาสามารถเปิดได้ในหลายรูปแบบของเบราว์เซอร์

มีการจับเพียงอย่างเดียว ผู้ที่ตกเป็นเหยื่อจะต้องเข้าสู่เว็บไซต์ที่เป็นเจ้าของภาพสำหรับการโจมตีเพื่อทำงาน "การโจมตีจะทำงานได้ดีที่สุดทุกครั้งที่คุณเข้าสู่ระบบเป็นระยะเวลานาน" Heasman กล่าวว่า

มีสองวิธีที่การโจมตี GIFAR อาจขัดขวางได้ เว็บไซต์สามารถเพิ่มประสิทธิภาพเครื่องมือกรองของพวกเขาเพื่อให้สามารถมองเห็นไฟล์ไฮบริดได้ หรือซันสามารถทำให้สภาพแวดล้อมการทำงานของ Java runtime ขึ้นเพื่อป้องกันไม่ให้เกิดเหตุการณ์เช่นนี้ขึ้น นักวิจัยคาดว่า Sun จะสามารถแก้ไขปัญหาได้ไม่นานหลังจากการสนทนาของ Black Hat นักวิจัยกล่าวว่าแม้ว่า Java Fix อาจปิดการใช้งานเวกเตอร์การโจมตีนี้หนึ่งปัญหาของเนื้อหาที่เป็นอันตรายจะถูกวางไว้บนแอ็พพลิเคชันเว็บที่ถูกต้องเป็นอย่างมาก ปัญหาที่ใหญ่ขึ้นและ thornier "จะมีวิธีอื่น ๆ ในการทำเช่นนี้ด้วยเทคโนโลยีอื่น ๆ " นักพัฒนาจาก Gifar, Nathan McFeters, นักวิจัยจากศูนย์การรักษาความปลอดภัยขั้นสูงของ Ernst & Young กล่าว "ในระยะยาวแอพพลิเคชันบนเว็บจะต้องมีการควบคุม เนื้อหา "McFeters กล่าว "นี่เป็นปัญหาเกี่ยวกับเว็บแอพพลิเคชันการโจมตีของจาวาที่เรากำลังใช้อยู่นั้นเป็นแค่เวกเตอร์"

เขาและเพื่อนร่วมงานของ Black Hat มีสิทธิ์ในการพูดคุยของพวกเขาอินเทอร์เน็ตเสียแล้ว

ท้ายที่สุดแล้วผู้ผลิตเบราว์เซอร์จะมี Jeremiah Grossman หัวหน้าเจ้าหน้าที่ด้านเทคโนโลยีของ White Hat Security กล่าวว่า "ไม่ใช่ว่าอินเทอร์เน็ตเสีย" เขากล่าว "การรักษาความปลอดภัยของเบราเซอร์นั้นเสียไปการรักษาความปลอดภัยของเบราเซอร์เป็นเรื่องที่ผิดกฎหมายมาก"