Менеджеры паролей остаются уязвимыми к кликджекингу — возможна утечка логинов и 2FA
Изображение: Yura Fresh (unsplash)
В недавнем исследовании, представленном независимым специалистом Мареком Тотом на конференции DEF CON 33, говорится, что шесть популярных менеджеров паролей подвержены критически опасным уязвимостям, связанным с кликджекингом. В документе, подготовленном совместно с экспертами компании Socket, указано, что атаки могут привести к утечке логинов, кодов двухфакторной аутентификации и платёжных данных.
Как указано в отчёте, уязвимости были подтверждены в браузерных версиях 1Password, Bitwarden, Enpass, iCloud Passwords, LastPass и LogMeOnce. При посещении вредоносных или скомпрометированных сайтов пользователи сталкиваются с подложными визуальными элементами, замаскированными под интерфейс браузера или самого менеджера паролей. На самом деле клики по ним активируют автозаполнение скрытых форм, что приводит к незаметной передаче чувствительной информации злоумышленникам.
По данным Socket, эксплойты основаны на наложении DOM-элементов с изменённой прозрачностью, перехвате событий указателя мыши и использовании фальшивых pop-up окон (CAPTCHA, cookie-баннеров и т. д.). В документе говорится, что даже такие простые элементы, как всплывающие подсказки, могут быть использованы для подмены интерфейса менеджера паролей, инициируя автозаполнение без ведома пользователя.
В отчёте подчёркивается, что в одном из тестов был реализован механизм, при котором элементы UI следовали за курсором мыши. Это означало, что любое нажатие мыши приводило к активации скрытых элементов и, как следствие, к утечке логинов и других чувствительных данных.
Исследователи уже уведомили разработчиков менеджеров паролей и координируют процесс устранения уязвимостей. В то же время, как указано в отчёте Socket, многие из описанных проблем до сих пор не устранены в стабильных версиях расширений, используемых миллионами пользователей по всему миру.
Эксперты призывают временно отключить функцию автозаполнения в браузере и быть особенно осторожными при взаимодействии с формами на незнакомых сайтах.
