黑客发动在线钓鱼攻击不再依赖电子邮件

安全厂商Trusteer的研究人员表示，近日黑客利用所有主流浏览器中存在的一个漏洞发起新型攻击，被称为“在线钓鱼攻击(in-session phishing)”，这种攻击能够帮助黑客轻而易举地窃取网上银行电子证书。

　　在线钓鱼攻击帮助钓鱼攻击者解决了发动钓鱼攻击的最大问题，即如何窃取更多银行帐户信息。在传统的钓鱼攻击中，攻击者通常会发送出数以百万计的伪装电子邮件，让用户以为这些电子邮件是来自合法公司，如银行或者网上支付公司。这些邮件信息往往会被垃圾邮件过滤软件拦截，所以成功率不会很高。有了在线钓鱼攻击，攻击者不需要再使用发送电子邮件的方式，取而代之的是弹出浏览器窗口。

　　让我们看看这种攻击是如何发生的：黑客们首先会攻击一个合法网站，然后植入HTML代码，使网站自动弹出类似安全警告的窗口，然后用户登陆网站时该弹出窗口就会要求用户输入密码和登录信息，或者要求用户回答其他银行用来核实用户身份的安全问题。

　　对于攻击者而言，最困难的部分就是要让用户相信弹出通知窗口是安全合法的，不过这也不难，因为所有主流浏览器的JavaScript引擎中存在的一个漏洞恰好能够助攻击者一臂之力，Trusteer公司的首席技术官Amit Klein表示，这个漏洞能够提高攻击者的成功率。

　　Klein表示，他通过研究浏览器使用JavaScript的方式，已经发现了一种方法可以鉴定用户是否登录到某网站，只要使用某种JavaScript函数，Klein表示将不会公布这个函数功能，以防攻击者向该漏洞发起攻击，不过Klein已经告知浏览器供应商并预计这个漏洞很快将得到修复。

　　在此之前，如果攻击者发现了这个安全漏洞，就能够写入代码来检查是否有网民登录到银行网站。“不仅仅通过这个随机弹出钓鱼信息，攻击者还可以通过探测来发现用户是否在登录金融机构网站以进行更复杂的攻击。”他表示。

　　“事实上，只要用户在线就可能收到钓鱼信息，”Klein补充说道。

　　安全研究人员已经研究出其他方法来识别受害者是否正登录到某个网站，但信息也不是完全可靠，Klein表示他的方法不是完全可行的，但是可以在很多网站使用，包括银行、购物网站、游戏和社交网站等。