Compreendendo o Clickjacking: o ataque baseado em navegador que pode contornar proteções e assumir o controle de contas

O clickjacking engana pessoas desavisadas, fazendo-as clicar em links que elas acham inofensivos, mas depois baixa malware, coleta credenciais de login e assume o controle de contas online. Infelizmente, o malware de clickjacking pode escapar das proteções de segurança, mas há maneiras de se proteger.

• Das vulnerabilidades de DNS ao clickjacking

O que é Clickjacking?

Também conhecido como ataque de correção de interface do usuário, o clickjacking é uma forma de ataque baseado em interface que manipula os usuários para que cliquem em botões ou links disfarçados de outra coisa.

Ao contrário do spoofing de site, em que a vítima é levada a um site falso, criado para imitar o site de uma empresa legítima, o clickjacking leva o usuário ao site real. No entanto, o invasor cria uma sobreposição invisível sobre o site legítimo usando ferramentas HTML, como folhas de estilo em cascata (CSS) e iframes.

Camadas invisíveis são criadas usando iframe, um elemento HTML usado para incorporar uma página da web ou um documento HTML em outra página da web. É transparente, então ainda parece que você está interagindo com um site legítimo. No entanto, se você clicar em um botão em um site, jogar um jogo ou executar uma tarefa que considere inofensiva, esses cliques serão aplicados ao site invisível no topo. Esses cliques dão aos hackers acesso à sua conta, permitindo que eles baixem malware, assumam o controle do seu dispositivo e realizem outras atividades nefastas.

Às vezes, os invasores se disfarçam de profissionais de marketing para enganar os usuários e fazê-los curtir uma página ou publicação em uma mídia social . Esse ataque é chamado de likejacking. O invasor envia ao usuário um vídeo interessante ou uma "oferta especial" e, ao clicar em "Reproduzir" ou interagir com o conteúdo, o usuário acidentalmente clica no botão "curtir" oculto.

Outra versão de clickjacking, chamada cursor-jacking, engana os usuários com um cursor personalizado, fazendo-os clicar em links ou partes de um site com os quais o usuário não pretendia interagir.

Uma variação mais avançada do clickjacking, chamada double clickjacking, explora o momento e a sequência dos cliques duplos dos usuários.

Ignorar proteção antivírus e do navegador

O que deixa as pessoas preocupadas com o clickjacking é que ele frequentemente ignora softwares antivírus e antimalware. Como esses ataques ocorrem em sites confiáveis ​​e nem sempre baixam nada, os softwares antivírus tradicionais podem não detectá-los.

A maioria dos navegadores vem com proteções integradas, mas, como todos sabemos, os hackers estão sempre procurando novas maneiras de explorar usuários online. A maioria dos ataques básicos de clickjacking são bloqueados de forma eficaz, mas não os ataques de clickjacking duplo.

Em vez de algo malicioso acontecer no seu primeiro clique, o código do invasor insere uma sobreposição sequestrada antes de solicitar que você clique uma segunda vez. Isso pode ocorrer na forma de um simples clique duplo para confirmar a ação ou de um CAPTCHA irritante. No segundo clique, você pode instalar acidentalmente um plugin e dar ao invasor acesso à sua conta.

Atualmente, os navegadores podem não detectar essa versão mais complexa porque ela não usa a configuração usual de iframe, colocando você em alto risco de se tornar vítima de clickjacking. Isso não se limita apenas aos navegadores de desktop; Usuários de dispositivos móveis também são alvos de avisos de toque duplo.

Como o Doublejacking contorna as proteções contra clickjacking

Muitos navegadores modernos atenuaram o clickjacking com proteções de segurança. No entanto, uma versão sofisticada chamada “double clickjacking” pode contornar as proteções tradicionais explorando a sequência entre dois cliques para assumir o controle de contas ou executar ações não autorizadas.

Em um ataque de double clickjacking, elementos maliciosos são inseridos entre o primeiro e o segundo clique do usuário. Primeiro, você é levado a um site controlado pelo invasor e recebe uma solicitação, como resolver um CAPTCHA ou clicar duas vezes em um botão para autorizar uma ação. O primeiro clique fechará ou alterará a janela superior (sobreposição de CAPTCHA), fazendo com que o segundo clique vá para o botão ou link de autorização anteriormente oculto. O segundo clique autoriza o plugin malicioso, fazendo com que o aplicativo OAuth se conecte à sua conta ou aprove o prompt de autenticação multifator.

O que você pode fazer para se proteger

As técnicas de clickjacking são sofisticadas e projetadas para enganar e roubar seus cliques, mas há algumas coisas que você pode fazer para se proteger.

• Mantenha sempre seus dispositivos e navegadores atualizados. Preste atenção aos patches de segurança, bem como às atualizações de software, e instale-os assim que estiverem disponíveis. Engenheiros lançam regularmente patches para corrigir vulnerabilidades de segurança e proteger usuários de novos ataques.
• Desconfie de avisos de clique duplo, especialmente em sites com os quais você não está familiarizado.
• Sempre verifique duas vezes as URLs dos sites que você visita. Os invasores podem usar técnicas de typosquatting para comprar versões legítimas de domínios que tenham diferenças muito pequenas, como adicionar um "a" ou um hífen ao domínio, como "ama-zon.com".
• Evite clicar em links quando não tiver certeza da fonte. Você pode usar um verificador de sitelink para ver se o link é seguro.

Os invasores geralmente se aproveitam da sua confiança em sites legítimos e de ações básicas que muitas vezes fazemos sem pensar, como clicar duas vezes. Sempre diminua o ritmo e pense antes de clicar para se proteger.