Steam: kontostölder ökar, vad är tekniken för hackare?

På senare tid har hackare utnyttjat en teknik för nätfiske nyligen försök att stjäla användaruppgifter Ånga genom en datorillusion.

Den berömda Steam har inte sparats under de senaste tjugo åren av bedrägerier och andra hacks av webbskurkar. Men under de senaste månaderna har hackare använt den så kallade phishing-tekniken. Webbläsare-i-webbläsaren eller BitB, som bokstavligen kan översättas som “webbläsare i en webbläsare”. Denna teknik består av att stjäla användaruppgifterna för användare av videospelsplattformen genom att skicka in en nästan perfekt kopia av en Steam-sida. Om det finns många “knep” för att upptäcka den falska sidan är processen djävulskt effektiv.

Pirater som lockar spelare med attraktiva erbjudanden eller evenemang

Denna nya nätfisketeknik upptäcktes i början av året av forskaren mrd0x. Hackare använder det genom att skapa ett falskt webbläsarfönster, men inte en “webbläsare” i egentlig mening, mer här ett webbläsarfönster kopplat till en tjänst som kan vara en Facebook-, Google-, Outlook- eller Steam-sida. Om vi ​​jämför det imiterade fönstret med det riktiga är det nästan omöjligt att skilja dem åt.

När det gäller Steam, som använder ett popup-fönster för att hjälpa sina användare att autentisera snarare än en ny flik, såg hackare en möjlighet. Bedrägeriet identifierades på Valve group-plattformen av datorövervakningsgruppen Group-IB, som uppenbarligen varnade utgivaren för hotet.

Frågan alla ställer sig nu: hur lockar man offer till en falsk webbsida som innehåller en inloggningsknapp? Med Steam har pirater förstått behovet av att locka spelare med attraktiva erbjudanden. De skickar sedan meddelanden till dem och erbjuder dem till exempel att gå med i ett lag att delta i en turnering av League of Legends (LoL), av Counter-Strikeav Dota 2 Var PUBG. Andra förslag, som möjligheten att rösta på sitt favoritlag eller köpa biljetter till reducerade priser för e-sportevenemang, vidarebefordras också till användarna.

Det finns också ett fall där tittarna på en YouTube-video som påstås sändas live (men faktiskt inspelad) kunde bjudas in att klicka på en länk som finns i beskrivningen för att få ett gratis skal i CS:GO. Nätfiskewebbplatsen visades också på skärmen.

En teknik som släcker alla misstankar (eller nästan) som uppstår vid “traditionellt” nätfiske

Group-IB förklarar för oss att alla (eller nästan) knappar på beteswebbsidorna direkt öppnar ett kontodatainmatningsformulär som uppenbarligen efterliknar ett legitimt Steam-fönster, med ett falskt grönt låstecken och ett falskt URL-fält som det är möjligt att kopiera . Hackare har till och med härmat plattformens tvåfaktorsautentiseringsfönster, Steam Guard, för att utöka sin räckvidd.

Medan hackare vanligtvis försöker lura offren att öppna nätfiskewebbsidor på en ny flik, öppnar attacker med Browser-in-the-Browser ett falskt webbläsarfönster direkt på samma flik, vilket lättare kan övertyga användarna om att sidan verkligen är legitim. Ytterligare en statskupp för hackare: det olagliga fönstret låter dig till och med byta från ett språk till ett annat, 27 erbjuds totalt. De är alla funktionella och det ursprungliga språket väljs till och med automatiskt, tack vare webbläsarens inställningar.

På skärmdumpen från Group-IB noterar vi att URL:en i adressfältet i popup-fönstret är identisk med den för den legitima länken. Det är också en rejäl skillnad jämfört med traditionellt nätfiske, där den visade webbadressen skiljer sig från den legitima webbadressen, vilket lättare väcker misstankar.

En annan anmärkningsvärd skillnad: SSL-certifiering. I ett klassiskt nätfiskefall kan den resurs som den olagliga sidan härstammar från inte utfärda detta certifikat. Och tyvärr erbjuder nätfiske i webbläsare i webbläsaren möjligheten för hackaren att visa det lilla säkerhetslåsta hänglåset.

Hur kan vi upptäcka dessa falska fönster?

Om fönstret är falskt fungerar knapparna som används för att minimera och stänga det, eller åtminstone ge upphov till en åtgärd, vilket förstärker teknikens trovärdighet. Mycket ofta går BitB phishing-sidor till och med så långt att de innehåller en varning som syftar till att informera användare om data som registreras av tredjepartsresursen, vilket är ganska perverst men som även här förstärker intrycket av att vara på ett legitimt Steam-fönster .

När offret har angett uppgifterna skickas dessa direkt till cyberattackarna. Om den fångade personen har skyddat sitt konto med stark autentisering, skickar resursen en begäran om en kod, en kod som skapats med hjälp av en separat applikation, som skickar ett pushmeddelande till offrets enhet. En teknik som räcker långt, men som inte är helt ofelbar.

Det är verkligen möjligt att identifiera ett falskt webbläsarfönster på flera sätt:

• Du kan se det i den sista skärmdumpen, men rubrikdesignen och popup-adressfältet är något annorlunda. Se till att ta en ordentlig titt på typsnittet eller designen på kontrollknapparna, som kan skilja sig något från originalen.

• Kom alltid ihåg att kontrollera om ett nytt fönster har öppnats i aktivitetsfältet. Om inte, är fönstret fel.

• Fönsterstorleken är utan tvekan det mest effektiva elementet. Prova att ändra storlek på den. Om du inte kan, är det inte legitimt. Samma sak förresten när man försöker flytta fönstret. Om du inte kan flytta det till kontrollelementen i det initiala fönstret är det falskt.

• Om det behövs kommer du att inse att ett fönster är falskt om du klickar på “minimera”-knappen för den senare helt enkelt stänger det.

• Vi pratade med dig tidigare om SSL-certifikatet. När det gäller BitB-nätfiske är låssymbolen faktiskt bara en enkel bild. Du kommer att märka detta genom att klicka på den, eftersom ingenting kommer att hända. En riktig webbläsare ger dig tillgång till certifikatinformation med ett enda klick.

• Ett falskt adressfält är i princip inte funktionellt, så det tillåter dig inte att ange en annan URL. Och om du trots allt lyckas kommer du att märka att det kommer att vara omöjligt att öppna det i samma fönster.

• Slutligen, om du gör dig besväret att inaktivera körningen av JavaScript-skript från dina webbläsarinställningar, kommer du inte att kunna visa de falska fönstren.

Källa: Grupp-IB