BitB : nouvelle technique de phishing pour récupérer votre mot de passe

Magnifiquement machiavélique et bien pensé !

OK, mais le lien principal de phishing, c’est bien celui du mail, et ce dernier est toujours facilement affichable. LA BASE de l’utilisation d’internet devrait commencer par l’apprentissage de ce genre de détections qui sont pour 98% des cas (chiffre évalué par moi même) très facile à identifier comme faux.
Moi je m’en fout, mon métier est de réparer les OS et les PC donc ça me fait manger. Mais en tant que passionné, je trouve ça tellement navrant de se faire avoir par ce genre de connerie. C’est comme le piège au faux support technique… ça m’a rapporté beaucoup alors que j’explique à chaque client victime comment reconnaître une connerie d’un vrai soucis.

Les gens qui sont attirés (passionnés, ayant des affinités, etc.) par l’informatique seront certainement au courant via les médias (dont Clubic) et feront attention.

Par contre les autres, je pense qu’ils s’en phishent (désolé, pas pu me retenir ^^). Ils vont sur des sites (ou achètent des journaux) et lisent les informations qui correspondent à leurs centres d’intérêt. Ceux-là, il faudrait mieux les encadrer car ils ne feront probablement pas la démarche de leur propre chef.

Si les véritables fenêtres OAuth peuvent par exemple être redimensionnées ou déplacées sur votre écran, puisque considérées comme une instance distincte du navigateur et de sa page principale, ce n’est pas le cas des fenêtres BitB, qu’il est impossible de redimensionner

Pour l’instant… Rien n’empêche la version 2 qui rajoute, avec un peu de JS, le redimensionnement et le resize. De toute façon, qui resize ou déplace ces fenêtres ?

La seule alternative, c’est d’avoir un theme qui ne soit pas celui par défaut. Impossible pour le pêcheur de savoir quel thème vous utilisez. Donc les fenêtres ne seront pas légitimes.

Je comprends la recherche mais par contre publier ca en Open Source je trouve ca très très moyen.

« Le chercheur a publié, sur la plateforme GitHub, un toolkit qui permet à chacun de mettre en place assez facilement une attaque de type BitB depuis le navigateur de la firme de Mountain View, Google Chrome. »

Le terme « chercheur » me gêne puisque, apparemment, il ne s’agit que d’un escroc comme un autre. A moins que je ne me trompe…

Non, pas forcément. Un phishing ne commence pas forcément par un mail. Le point de départ peut par exemple être un site parfaitement légitime, qui utilise Facebook pour sa gestion de commentaires, et qui a été piraté… Le pirate modifie le site pour injecter sa fausse fenêtre de connexion à Facebook, et hop, il ramasse les comptes de ceux qui veulent se connecter au site… Ça peut même se faire sans vraiment pirater le site, avec un malware (par exemple, une extension de navigateur qui va automatiquement détecter les boutons de connexion Facebook et injecter ce faux formulaire).

Il y a des comportements des vrais fenêtres qui ne sont pas simulables, par exemple le fait de faire sortir la fenêtre de l’espace de la fenêtre parente, de la passer par-dessus ou par-dessous une autre fenêtre, ou encore l’icône de la fenêtre dans la barre des tâches ou le menu Alt-Tab. Cela dit, je me demande s’il n’y a pas moyen dans certaines conditions de faire une vraie fenêtre popup sans barre d’adresse… Et donc d’y mettre la fausse barre qui passerait pour la vraie…

Oui, tu te trompes. Un escroc comme un autre, il ne rendrait pas ça publique, il l’exploiterait dans son coin, à son profit, aussi longtemps que possible.

Là en le rendant public, il informe le public sur le risque et des moyens de le réduire (vérifier qu’il s’agit d’une vraie fenêtre, gestionnaire de mots de passe, etc…), et il partage également ça avec ceux qui peuvent éventuellement travailler sur des contre-mesures intégrées au sein des navigateurs et/ou des logiciels de sécurité. C’est donc bien un travail de recherche, dans le but d’améliorer la sécurité.

La double authentification devrait alors être un impératif obligatoire (au moins sur les sites et applicatifs SSO).

Alors je reste sans voix… Je pensais que la phrase « un toolkit qui permet à chacun de mettre en place assez facilement une attaque de type BitB… » était compréhensible par le quidam du coin mais il semble que non.

Chers « clubiciens » demain je mets en ligne la combinaison du coffre de mon voisin. Je suis un chercheur et j’ai trouvé cette combinaison en cherchant alors j’en fais profiter le public afin qu’il se prémunisse des fois que certains aient le même coffre et la même combinaison… Si vous souhaitez l’adresse dudit voisin, demandez à [email protected]… (prononcer on).

Faut surtout pas prendre la formulation d’un journaliste pour argent comptant hein… Va voir ce qu’il y a dans son repo GitHub. Tu verras que c’est loin d’être complet, et surtout, loin d’être « facile ». La partie qui est fournie est extrêmement superficielle et ne permet AUCUNE attaque en l’état.

Il y a juste quelques templates de page incluant une fausse fenêtre popup VIDE, ne reproduisant PAS les formulaires de connexion (donc si on veut faire une attaque, faut se taper le boulot de reproduire le style des formulaires existants). Et il n’y a pas non plus le code côté serveur pour récupérer ce qui est saisi dans les formulaires (forcément, puisqu’il n’y a même pas les formulaires…).

En gros, quelqu’un qui sait coder, à partir de l’explication qui est donnée dans l’article de Clubic, si il veut faire une attaque basée sur cette idée, il gagne 1h grâce à ces templates, tout au plus. Celui qui sait pas coder, il aura beau avoir ces templates, il pourra rien en faire.

En exagérant à peine, c’est comme si je publiais un scan 3D de l’extérieur de ma voiture en disant « ces données permettent à chacune de fabriquer assez facilement sa propre voiture »…