Exploit DoubleClickjacking

Analiștii amenințărilor au descoperit o nouă clasă de vulnerabilități bazate pe sincronizare care exploatează o secvență de dublu clic pentru a permite atacurile de tip clickjacking și accesul neautorizat la cont pe numeroase site-uri web importante. Această tehnică, denumită DoubleClickjacking, introduce o abordare nouă a manipulării interfeței de utilizare care eludează măsurile de securitate existente.

O nouă abordare a clickjacking-ului

Spre deosebire de metodele tradiționale de clickjacking care se bazează pe un singur clic de utilizator, DoubleClickjacking folosește scurta întârziere dintre două clicuri consecutive. Deși aceasta poate părea o schimbare minoră, ocolește în mod eficient protecțiile precum antetul X-Frame-Options și setările pentru cookie-uri SameSite: Lax/Strict.

Clickjacking, cunoscut și sub denumirea de remediere a interfeței de utilizare, înșeală utilizatorii să interacționeze cu elementele pe care le percep ca inofensive, cum ar fi butoanele, doar pentru a declanșa acțiuni neintenționate, inclusiv exfiltrarea datelor sau încălcări de securitate. DoubleClickjacking rafinează acest concept prin exploatarea intervalului dintre clicuri, permițând atacatorilor să depășească controalele de securitate și să deturneze conturile cu implicarea minimă a utilizatorilor.

Cum funcționează atacul

Tehnica se desfășoară în următoarea secvență:

• Un utilizator vizitează un site web fraudulos care fie deschide automat o nouă filă de browser, fie îi solicită să facă acest lucru.
• Această nouă fereastră, care poate apărea ca o verificare CAPTCHA de rutină, indică utilizatorului să facă dublu clic.
• Pe măsură ce are loc dublu clic, site-ul original redirecționează în mod furtiv către o pagină rău intenționată, cum ar fi o solicitare de autorizare OAuth.
• Simultan, fereastra pop-up se închide, determinând utilizatorul să aprobe o solicitare de permisiune critică pe site-ul original, fără să știe.

Deoarece majoritatea sistemelor de apărare de securitate web sunt concepute pentru a contracara doar clicurile forțate unice, această metodă ocolește efectiv garanțiile convenționale. Măsuri precum X-Frame-Options, module cookie SameSite și Politica de securitate a conținutului (CSP) nu pot atenua această amenințare.

Măsuri preventive și soluții pe termen lung

Pentru a rezolva această problemă, dezvoltatorii de site-uri web pot implementa protecții la nivelul clientului care dezactivează butoanele de acțiune esențiale, cu excepția cazului în care este detectată o mișcare a mouse-ului sau o apăsare a tastei inițiate de utilizator. Unele platforme, inclusiv Dropbox, folosesc deja astfel de mecanisme defensive pentru a preveni interacțiunile neautorizate.

Ca soluție pe termen lung, experții în securitate recomandă furnizorilor de browsere să stabilească noi standarde asemănătoare X-Frame-Options pentru a atenua eficient atacurile bazate pe dublu clic.

O nouă întorsătură la Clickjacking

DoubleClickjacking este o evoluție a tehnicilor de clickjacking bine documentate, exploatând decalajele subtile de timp între acțiunile utilizatorului pentru a schimba într-o clipă elementele legitime ale interfeței de utilizare cu altele înșelătoare.

Această dezvăluire urmează unei dezvăluiri anterioare a falsificării între ferestre (gesture-jacking), o altă variantă de clickjacking. Această tehnică îi convinge pe utilizatori să apese sau să țină apăsate taste precum Enter sau Space pe un site compromis, inițiind acțiuni neintenționate.

Pe platforme precum Coinbase și Yahoo!, atacatorii ar putea folosi gesturi-jacking pentru a deturna conturile. Dacă un utilizator conectat vizitează un site web nesigur și apasă Enter sau Space, ar putea să autorizeze fără să știe o aplicație OAuth necinstită. Acest lucru este posibil deoarece ambele platforme permit aplicațiilor OAuth să solicite acces larg și să atribuie identificatori statici previzibili butoanelor de autorizare, făcându-le susceptibile de exploatare.

Pe măsură ce metodele de clickjacking continuă să evolueze, echipele de securitate trebuie să adopte apărări proactive pentru a proteja interacțiunile utilizatorilor de amenințări din ce în ce mai sofisticate.