详细内容或原文请订阅后点击阅览
攻击者正在使用“偷偷摸摸的 2FA”来创建看似真实的虚假登录窗口
网络钓鱼即服务工具包 Sneaky 2FA 被发现使用浏览器中的浏览器攻击来窃取登录凭据。
来源:Malwarebytes Labs 博客攻击者有一个新伎俩来窃取您的用户名和密码：伪造的浏览器弹出窗口看起来与真实的登录窗口一模一样。这些“浏览器中的浏览器”攻击几乎可以欺骗任何人，但密码管理器和一些简单的习惯可以保证您的安全。
网络钓鱼攻击不断发展，当今攻击者的武器库中更具欺骗性的技巧之一是浏览器中的浏览器 (BitB) 攻击。 BitB 的核心是一种社会工程技术，它让用户相信他们正在与真正的浏览器弹出登录窗口进行交互，而实际上，他们正在处理一个内置于网页中的令人信服的假冒产品。
研究人员最近发现了一种名为“Sneaky 2FA”的网络钓鱼即服务 (PhaaS) 工具包，它可以在犯罪市场上提供这些功能。据报道，客户收到了经过许可的、经过混淆的源代码版本，并且可以按照自己的喜好进行部署。
研究人员攻击者使用此工具包使用 HTML 和 CSS 创建虚假浏览器窗口。它非常具有欺骗性，因为它包含一个完美呈现的地址栏，显示合法网站的 URL。从用户的角度来看，一切看起来都很正常：窗口设计、网站地址，甚至登录表单。但这是一个精心设计的幻象，旨在在您开始输入时窃取您的用户名和密码。
通常我们会告诉人们检查地址栏中的 URL 是否符合您的期望，但在这种情况下这没有帮助。假的地址栏可以欺骗人的眼睛，但它无法欺骗设计良好的密码管理器。密码管理器只能识别合法的浏览器登录表单，而不是伪装成浏览器窗口的 HTML 伪造品。这就是为什么使用密码管理器始终很重要。它不仅鼓励使用强而独特的密码，而且还通过拒绝自动填写可疑表单来帮助发现不一致之处。