حملات فیشینگ (Fishing) در مرورگر edge و safari و کشف آسیب پذیری خطرناک در مرورگرهای مایکروسافت و اپل
سلام عرض میکنم خدمت همراهان همیشگی آرسس پارت.
امروزه تشخیص حملات فیشینگ به طور فزاینده‌ای پیچیده و دشوارتر شده اند. رفیع بلوچ (یک محقق امنیتی پاکستانی) آسیب پذیری مربوط به مرورگر edge و safari را گزارش داده است که منجر به فیشینگ می شود.
رفیع بلوچ یک آسیب پذیری در مرورگر edge و safari را کشف کرده است که می‌تواند شاخصه کلیدی اصلی مانند SSL و URL را کنار بگذارد.
شایان ذکر است که کاربر ابتدا این شاخص‌ها را چک می‌کند تا مشخص شود که آیا یک وب سایت واقعی است یا جعلی.
بر اساس یافته های رفیع بلوچ، این نقص به مهاجمین اجازه می دهد تا محتوای نمایش داده شده در نوار آدرس را کنترل کنند. در این روش شناسایی مهاجم بسیار سخت تر می شود.
فیشینگ در مرورگر edge و safari
هر دو آسیب‌پذیری فیشینگ در مرورگرهای Edge و Safari به جاوا اسکریپت اجازه می‌دهند تا نوار آدرس مرورگر را هنگام بارگذاری صفحه به روزرسانی کنند. یعنی امکان دارد آدرس URL تغییر نکند اما محتوا سایت، از یک سایت جعلی بارگذاری می شود. در تست صورت گرفته کاربر وارد Gmail شد و URL سایت دقیقا URL رسمی گوگل بود اما محتوا صفحه ار سایت جعلی sh3ifu.com بارگذاری شده است.
از طریق این آسیب پذیری نه تنها gmail بلکه از هر سایتی مانند فیسبوک، توییتر و حتی سایت های بانکی می توان سواستفاده کرد.
متاسفانه مایکروسافت و اپل در مورد این اشکال اطلاع داشتند.
مایکروسافت در حال حاضر یک بروزرسانی برای برطرف کردن آسیب پذیری Edge در تاریخ ۱۴ اوت در یکی از به روز رسانی های امنیتی خود منتشر کرده است. با این حال، شرکت اپل تا کنون هیچ بروزرسانی را ارائه نکرده است و این آسیب پذیری فیشینگ همچنان پا بر جاست.
بنا به رسم همیشگی، هرگاه آسیب پذیری به شرکتی اعلام می شود، ۹۰ روز به شرکت مذکور مهلت داده می شود تا با بروزرسانی آسیب پذیری را برطرف کند و اگر بر طرف نشد، آسیب پذیری بصورت عمومی منتشر می شود.
علت گزارش عمومی این خبر این است که سه ماه گارانتی موقت به اتمام رسیده و اپل هنوز هیچ بروز رسانی منتشر نکرده است.
همراهان همیشگی آرسس سعی کنید حتما سیستم خود همیشه بروز نگه دارید.