پالوس ییبلو، محقق امنیتی و شکارچی باگ، نوع جدیدی از حملات کلیکجکینگ را با نام دابلکلیکجکینگ

دابلکلیکجکینگ روش جدید هکرها برای سرقت مجوزهای و کنترل حسابهای کاربری

پالوس ییبلو، محقق امنیتی و شکارچی باگ، نوع جدیدی از حملات کلیکجکینگ را با نام دابلکلیکجکینگ آشکار کرده است که میتواند محافظتهای مرورگرهای مدرن را دور بزند و به هکرها اجازه دهد مجوزهای حساس را با دو کلیک ساده بدست آورند.

به گزارش تکنا، این تکنیک از محدودیتهای مرورگرها در ارسال کوکیهای بینسایتی برای حملات تککلیکی استفاده میکند. هکرها یک صفحه فیشینگ طراحی میکنند که شبیه به یک اعلان کپچا معمولی به نظر میرسد و از کاربر میخواهد دو بار روی یک دکمه کلیک کند تا ثابت کند انسان است.

هنگام کلیک اول، پنجره بالایی بسته شده و یک صفحه حساس – مانند تأییدیه مجوز، صفحه پرداخت یا تنظیمات امنیتی – در همان جلسه مرورگر بارگذاری میشود. کلیک دوم ماوس بلافاصله روی دکمههای حیاتی این صفحه حساس قرار میگیرد و عملیات خطرناک را تأیید میکند.

ییبلو توضیح داد که مهاجمها از کنترلکنندههای رویداد برای ربودن کلیک دوم استفاده میکنند و روشهای مختلفی برای جابجایی صفحات وجود دارد، مطمئنترین آن استفاده از است. این محقق کد اثبات مفهوم و مثالهایی را منتشر کرده که نشان میدهد چگونه میتوان حسابهای اسلک، شاپیفای و سیلزفورس را هدف قرار داد.

برای مقابله با این تهدید، وبسایتها میتوانند دکمههای حیاتی را به صورت پیشفرض غیرفعال نگه دارند و تنها پس از تشخیص حرکتی آغاز شده توسط کاربر – مانند حرکت ماوس یا فشردن کلید – آنها را فعال کنند. ییبلو توصیه میکند که تا زمانی که مرورگرها راهحلهای استاندارد ارائه دهند، هر صفحهای که عملیات با امتیاز بالا مانند تأیید یا پرداخت را انجام میدهد، باید اسکریپتهای دفاعی را پیادهسازی کند.