Хакеры могут получить информацию даже после закрытия веб-страницы браузера.

20:56 МСК, 26 февраля 2019 г. Автор: Admin

Атака MarioNet позволяет хакерам создавать ботнеты из пользовательских браузеров.

Некие злоумышленники из Греции разработали новую браузерную атаку, которая позволяет хакерам запускать вредоносный код в веб-обозревателях пользователей даже после того, как они закрыли веб-страницу, на которой находились.

Эта новая разновидность атаки под названием MarioNet, которая открывает двери для сборки гигантских ботнетов из пользовательских браузеров. Эти ботнеты могут быть использованы например для крипто-майнинга в браузере (cryptojacking), DDoS-атак, размещения / распространения вредоносных файлов, взлома распределенных паролей, создания прокси-сетей, мошенничества с рекламными кликами и повышения статистики трафика, считают ведущие исследователи в этой области.

Атака MarioNet представляет собой обновление аналогичной концепции создания бот-сети на основе браузера, которая была описана в исследовательской работе Puppetnets еще 12 лет назад, в 2007 году. Разница между ними заключается в том, что MarioNet может быть активна после того, как пользователи закроют вкладку браузера, или уйдут с веб-сайта, на котором размещен вредоносный код. Это возможно, потому что современные обозреватели Интернета теперь поддерживают новый API под названием Service Worker.

Этот механизм позволяет ресурсу изолировать операции, визуализирующие пользовательский интерфейс страницы, от операций, выполняющих интенсивные вычислительные задачи, чтобы пользовательский интерфейс веб-страницы не зависал при обработке больших объемов данных. Технически, Service Worker - это обновление более старого API, называемого Web Workers. Однако, в отличие от технологии Web Workers, Service Worker, после регистрации и активации может находиться и работать в фоновом режиме страницы, не требуя от пользователя продолжения просмотра сайта, который загрузил Service Worker. MarioNet (умное написание «марионетка») использует возможности, предоставляемые скриптами SW в современных веб-браузерах.

Процедура атаки состоит из регистрации Service Worker, когда пользователь попадает на веб-сайт, контролируемый злоумышленником, и последующего использования интерфейса SyncManager Service Worker для поддержки после ухода пользователя. Атака является тихой и не требует какого-либо взаимодействия с пользователем, потому что браузеры не предупреждают их, или не запрашивают разрешения перед регистрацией скрипта Service Worker.

Все происходит в процессе работы браузера, поскольку пользователь ожидает загрузки веб-сайта, и он не имеет ни малейшего представления о том, что эти сайты имеют зарегистрированных SW-скриптов, поскольку в любом веб-браузере нет видимых индикаторов. Кроме того, воздействие MarioNet также не связана с точкой атаки. Например, злоумышленники могут заразить пользователей на веб-сайте A, но позже они уже будут контролировать процессы на сервере B.

Это позволяет злоумышленникам в течение короткого периода времени размещать вредоносный код на сайтах с большим трафиком, получать огромную базу пользователей, удалять вредоносный код, но продолжать контролировать зараженные браузеры с другого центрального сервера. Кроме того, атака MarioNet может продолжаться и после перезагрузки браузера путем использования API Web Push. Однако это потребует от злоумышленника получения разрешения пользователя от зараженных хостов для доступа к этому API.

Последующий ботнет, созданный с помощью технологии MarioNet, может затем использоваться для различных криминальных действий, таких как крипто-майнинг в браузере (cryptojacking), DDoS-атаки, размещение / обмен вредоносными файлами, взлом распределенных паролей, создание прокси-сетей, мошенничество с рекламными кликами и повышение статистики трафика.

Ни исходная атака MarioNet, ни последующие операции ботнета не требуют от атакующих использования уязвимостей браузера, а просто злоупотребляют существующими возможностями выполнения JavaScript и новыми API-интерфейсами HTML5. Например, применение зараженных ботов MarioNet для размещения файлов требует использования встроенных API-интерфейсов хранения данных, уже доступных в браузерах, которые позволяют веб-сайтам хранить и получать файлы с компьютера жертвы.

Это делает почти невозможным обнаружение любых заражений MarioNet и последующих атак. Поскольку Service Workers были представлены несколько лет назад, атака MarioNet также работает практически во всех настольных и мобильных браузерах. Атаки MarioNet не сработали только в IE (для настольных ПК), Opera Mini (для мобильных устройств) и Blackberry (для мобильных устройств).

В своей научной работе, исследовательская группа также описывает методы, с помощью которых MarioNet могла бы избежать обнаружения антивирусными расширениями браузера и мерами противодействия майнингу, а также выдвигает несколько мер, которые могут предпринять производители браузеров. Атака MarioNet будет представлена сегодня на конференции NDSS 2019 в Сан-Диего, США. Более подробную информацию о MarioNet можно найти в сопроводительном исследовательском документе под названием «Master of Web Puppets: злоупотребление веб-браузерами для постоянных и скрытых вычислений», доступном для загрузки в формате PDF здесь.
________________________________________________________________________________________________

Просмотров страницы:

0598

Была ли информация на этой странице полезной для вас?

Instagram share buttons