Comprendre le détournement de clic : lattaque par navigateur qui peut contourner les protections pour prendre le contrôle des comptes

Le clickjacking incite les gens sans méfiance à cliquer sur des liens qu'ils pensent inoffensifs, mais télécharge ensuite des logiciels malveillants, récupère les identifiants de connexion et prend le contrôle des comptes en ligne. Malheureusement, les logiciels malveillants de détournement de clic peuvent échapper aux protections de sécurité, mais il existe des moyens de vous protéger.

• Des vulnérabilités DNS au clickjacking

Qu'est-ce que le Clickjacking ?

Également connu sous le nom d'attaque de redressement d'interface utilisateur, le clickjacking est une forme d'attaque basée sur l'interface qui manipule les utilisateurs pour qu'ils cliquent sur des boutons ou des liens déguisés en autre chose.

Contrairement à l'usurpation d'identité de site Web, où la victime est redirigée vers un faux site Web conçu pour imiter le site Web d'une entreprise légitime, le détournement de clic redirige l'utilisateur vers le véritable site Web. Cependant, l'attaquant crée une superposition invisible sur le site Web légitime à l'aide d'outils HTML tels que des feuilles de style en cascade (CSS) et des iframes.

Les calques invisibles sont créés à l'aide d'iframe, un élément HTML utilisé pour intégrer une page Web ou un document HTML dans une autre page Web. C'est transparent, donc vous avez toujours l'impression d'interagir avec un site Web légitime. Cependant, si vous cliquez sur un bouton sur un site Web, jouez à un jeu ou effectuez une tâche que vous considérez comme inoffensive, ces clics seront appliqués au site Web invisible en haut. Ces clics donnent aux pirates l’accès à votre compte, leur permettant de télécharger des logiciels malveillants, de prendre le contrôle de votre appareil et d’effectuer d’autres activités néfastes.

Parfois, les attaquants se font passer pour des spécialistes du marketing pour inciter les utilisateurs à aimer une page ou une publication sur les réseaux sociaux . Cette attaque est appelée likejacking. L'attaquant envoie à l'utilisateur une vidéo intéressante ou une « offre spéciale » et lorsqu'il clique sur « Lire » ou interagit avec le contenu, l'utilisateur clique accidentellement sur le bouton J'aime caché.

Une autre version du clickjacking, appelée cursor-jacking, incite les utilisateurs à utiliser un curseur personnalisé pour cliquer sur des liens ou des parties d'un site Web avec lesquels l'utilisateur n'avait pas l'intention d'interagir.

Une variante plus avancée du clickjacking, appelée double clickjacking, exploite le timing et la séquence des doubles clics des utilisateurs.

Contourner l'antivirus et la protection du navigateur

Ce qui inquiète les gens à propos du clickjacking, c’est qu’il contourne souvent les logiciels antivirus et anti-malware. Étant donné que ces attaques se produisent sur des sites Web réputés et ne téléchargent pas toujours quoi que ce soit, les logiciels antivirus traditionnels peuvent ne pas les détecter.

La plupart des navigateurs sont dotés de protections intégrées, mais comme nous le savons tous, les pirates informatiques sont toujours à la recherche de nouvelles façons d’exploiter les utilisateurs en ligne. La plupart des attaques de clickjacking de base sont efficacement bloquées, mais pas les attaques de double clickjacking.

Au lieu qu'une action malveillante se produise lors de votre premier clic, le code de l'attaquant insère une superposition piratée avant de vous inviter à cliquer une deuxième fois. Cela peut prendre la forme d'un simple double-clic pour confirmer l'action ou d'un CAPTCHA ennuyeux. Au deuxième clic, vous risquez d'installer accidentellement un plugin et de donner à l'attaquant l'accès à votre compte.

Actuellement, les navigateurs peuvent ne pas détecter cette version plus complexe car elle n'utilise pas la configuration iframe habituelle, ce qui vous expose à un risque élevé d'être victime d'un détournement de clic. Cela ne se limite pas uniquement aux navigateurs de bureau ; Les utilisateurs mobiles sont également ciblés par des invites à double appui.

Comment le doublejacking contourne les protections contre le détournement de clics

De nombreux navigateurs Web modernes ont atténué le détournement de clics grâce à des protections de sécurité. Cependant, une version sophistiquée appelée « double clickjacking » peut contourner les protections traditionnelles en exploitant la séquence entre deux clics pour prendre le contrôle de comptes ou effectuer des actions non autorisées.

Dans une attaque de double clickjacking, des éléments malveillants sont insérés entre le premier et le deuxième clic de l'utilisateur. Tout d’abord, vous êtes redirigé vers un site Web contrôlé par un attaquant et recevez une invite, telle que résoudre un CAPTCHA ou double-cliquer sur un bouton pour autoriser une action. Le premier clic fermera ou modifiera la fenêtre supérieure (superposition CAPTCHA), ce qui amènera le deuxième clic à accéder au bouton ou au lien d'autorisation précédemment masqué. Le deuxième clic autorise le plug-in malveillant, ce qui oblige l'application OAuth à se connecter à votre compte ou à approuver l'invite d'authentification multifacteur.

Ce que vous pouvez faire pour vous protéger

Les techniques de détournement de clics sont sophistiquées et conçues pour tromper et voler vos clics, mais il y a quelques choses que vous pouvez faire pour vous protéger.

• Gardez toujours vos appareils et navigateurs à jour. Faites attention aux correctifs de sécurité, ainsi qu’aux mises à jour logicielles, et installez-les dès qu’ils sont disponibles. Les ingénieurs publient régulièrement des correctifs pour corriger les vulnérabilités de sécurité et protéger les utilisateurs contre les nouvelles attaques.
• Méfiez-vous des invites de double-clic, en particulier sur les sites Web que vous ne connaissez pas.
• Vérifiez toujours les URL des sites Web que vous visitez. Les attaquants peuvent utiliser des techniques de typosquatting pour acheter des versions légitimes de domaines qui présentent des différences très mineures, comme l'ajout d'un « a » ou d'un trait d'union au domaine, comme « ama-zon.com ».
• Évitez de cliquer sur des liens lorsque vous n’êtes pas sûr de la source. Vous pouvez utiliser un vérificateur de liens de site pour voir si le lien est sûr.

Les attaquants profitent souvent de votre confiance dans les sites Web légitimes et dans les actions de base que nous effectuons souvent sans réfléchir, comme le double-clic. Ralentissez toujours et réfléchissez avant de cliquer pour vous protéger.