Os analistas da Rapid7 e o especialista independente em segurança da informação Rafay Baloch descobriram que sete navegadores móveis populares são vulneráveis à falsificação de URL. Eles permitem que sites maliciosos alterem o URL e exibam um endereço falsificado na barra de endereço.
Basicamente, o problema da falsificação da barra de endereço existia desde o surgimento da Internet.
Com a sofisticação cada vez maior dos ataques de phishing direcionados, explorar vulnerabilidades do navegador, como falsificação de barra de endereço, pode contribuir para o sucesso de ataques de phishing direcionados e, portanto, eles podem ser fatais.
E embora os navegadores de desktop modernos tenham muitos mecanismos de segurança que facilitam a detecção de um URL falso, navegadores móveis são menos protegidos.
Como acima mencionado, os pesquisadores descobriram que sete navegadores móveis são vulneráveis a esse tipo de falsificação. Estes são o Apple Safari, Opera Touch e Opera Mini, Parafuso, LINHA, Navegador UC, e Yandex.Browser.
Os pesquisadores explicam que normalmente a exploração de tais bugs se resume a diversas manipulações com JavaScript. Por exemplo, lidando com o tempo que decorre entre o carregamento de uma página e o momento em que o navegador consegue atualizar a URL na barra de endereço, um site malicioso pode forçar o navegador a exibir o endereço errado.
Mais frequente, este será o URL de um determinado site legítimo, para o qual os golpistas estão tentando passar seus recursos. Uma descrição detalhada de todos os bugs encontrados pode ser encontrada em Blog de Baloch.
As vulnerabilidades foram identificadas neste verão, e os pesquisadores notificaram os desenvolvedores sobre os problemas em agosto. Como você pode ver na tabela abaixo, grandes fornecedores eliminaram vulnerabilidades muito rapidamente, enquanto os pequenos nem se preocuparam em responder aos especialistas, muito menos lançamento de patches.
Os especialistas recomendam fortemente que os usuários atualizem seus navegadores, e se os patches ainda estiverem faltando, usar outro, aplicativos mais seguros.
O que há de bom na falsificação de URL – pelo menos não vai queimar você! Mas Ataque BadPower pode incendiar dispositivos!
