新的网络钓鱼工具包可以轻松伪造 Chrome 浏览器 Windows

想成为网络钓鱼者吗？ 使用新的可下载套件比以往任何时候都更容易。

网络钓鱼工具包允许任何人下载创建虚假版本的单点登录登录表单所需的模板——弹出的迷你浏览器窗口，让用户使用其在 Google、Apple 或 Google 等服务上的帐户登录第三方网站。推特。

这些网络钓鱼浏览器不仅易于创建，而且也非常难以发现，甚至可能欺骗经验丰富的技术人员，因为他们可以轻松发现大多数其他浏览器网络钓鱼计划。

怎么运行的

该套件由安全研究员 mr.d0x 创建，并已在 GitHub 上发布。 研究人员将这种新形式的网络钓鱼攻击称为“浏览器中的浏览器”(BitB) 攻击。

该套件中的模板包括适用于 Windows 和 Mac 的 Google Chrome，提供深色和浅色模式版本。

网络钓鱼者仍然需要引诱受害者进入虚假登录页面，但一旦他们单击按钮登录，他们就会看到使用自定义 HTML 和 CSS 呈现的图像，类似于浏览器弹出窗口。

哦，这太恶心了：浏览器中的浏览器 (BITB) 攻击，这是一种新的网络钓鱼技术，可以窃取甚至网络专业人员也无法检测到的凭据。＃安全 https://t.co/cxU83DMEzt pic.twitter.com/m9eYOmq0al

— 弗朗索瓦·扎尼诺托 (@francoisz)2022 年 3 月 18 日

网址检查

这个技巧如此令人信服的一个重要原因是 URL（网络安全培训告诉每个人仔细检查拼写错误或隐藏的自定义子域的位置）可以伪造。

明显的浏览器弹出窗口实际上并不是真正的弹出窗口，因此 URL 可以显示网络钓鱼者想要的任何内容。

他们的说服力有多大？ 看一看。

BitB Facebook 的 Chrome 网络钓鱼窗口。 图片来自多克斯先生。

根据 mr.d0x 的说法，不良行为者可以下载这些模板，交换自己的 URL 和窗口标题，并使用 iframe 显示表单。

这种类型的攻击不仅仅是理论上的：安全公司 Zscaler2020 年曝光了一次 BitB 攻击，诈骗者使用虚假的 Steam 登录窗口窃取并转售用户的 Steam 凭证。

如何发现 BitB 攻击

最新、最伟大的网络钓鱼技巧并不是百分百无法检测的，即使它是比我们习惯的更隐蔽的攻击。

下次当系统提示您使用较大的在线帐户之一（无论是 Google、Apple、Twitter、Microsoft 还是 Steam）登录新网站时，请记住一个简单的提示。 您应该尝试移动浏览器弹出窗口外部主窗口的。

如果它是真实的，您就可以，因为它是一个弹出窗口。 如果它是假的，您将无法将其移出其内置的页面。 你将能够毫无疑问地确认这是一个把戏。

但除非你知道要寻找什么，否则不会世界各地的VPN可以让您免去输入个人信息的麻烦，因此请保持警惕。