PALO ALTO、カリフォルニア、2025年5月29日/CyberNewsWire/--今日、 Safariユーザーをターゲットにした高度なブラウザ・イン・ミッドル(BitM)攻撃に関する新たな脅威研究をリリース。 squarex squarex が強調されたように、 敵はますますBitM攻撃を使用して認証情報を盗み、エンタープライズSaaSアプリへの不正アクセスを得ています。 求人 求人 BitM攻撃は、リモートブラウザを使用して、被害者ブラウザのポップアップウィンドウを介して攻撃者によって制御されるブラウザと相互作用するために被害者を騙します。 一般的な BitM 攻撃は、エンタープライズ SaaS アプリケーションの正当なログインページを表示し、被害者に正規のブラウザウィンドウで作業を行っていると信じる資格証明書や他の機密情報を開示することを欺くことです。 これにもかかわらず、BitM攻撃が常に持っていた欠点の1つは、マザーウィンドウが悪意のあるURLを表示し、セキュリティに注意を払ったユーザーにとって攻撃がより不十分であるという事実でした。 しかしながら、その一環として、 プロジェクト(YOBB) 研究チームは、Fullscreen APIを使用したSafari特有の実装の大きな欠陥を強調している。 ブラウザバグの年 squarex ブラウザバグの年 squarex BitM と組み合わせると、この脆弱性は非常に説得力のあるフルスクリーン BitM 攻撃を生み出すために利用することができ、そこで BitM ウィンドウがフルスクリーンモードで開くので、マザー ウィンドウから疑わしい URL が表示されません。 Safari ユーザーはこの攻撃に特に脆弱であるため、フルスクリーンにアクセスするユーザーの明確な視覚的指標はありません。 現在の Fullscreen API では、「この機能が動作するために、ユーザーはページまたはUI 要素と相互作用しなければならない」と定義していますが、API が指定していないのは、フルスクリーンモードを起動するために必要な相互作用の種類です。 したがって、攻撃者は、クリックするとフルスクリーン API を呼び出すポップアップに、偽のログインボタンなどのボタンを簡単に埋め込むことができます. This triggers a full screen BitM window that perfectly mimics a legitimate login page, including the URL displayed on the address bar. 
 
 「フルスクリーンBitM攻撃は、ブラウザAPI、特にフルスクリーンAPIのアーキテクチャとデザインの欠陥を強調している」とSquareXの研究者らは言う、「ユーザーは無意識に偽のボタンをクリックしてフルスクリーンBitMウィンドウを引き起こすことができます、特にSafariでは、ユーザーがフルスクリーンモードに入ると通知がありません。 「フルスクリーンBitM攻撃は、ブラウザAPI、特にフルスクリーンAPIのアーキテクチャとデザインの欠陥を強調している」とSquareXの研究者らは言う、「ユーザーは無意識に偽のボタンをクリックしてフルスクリーンBitMウィンドウを引き起こすことができます、特にSafariでは、ユーザーがフルスクリーンモードに入ると通知がありません。 BitM 攻撃は主に認証情報、セッション トークン、および SaaS アプリケーションデータを盗むために使用されているが、フルスクリーン版のバージョンは、攻撃をほとんどの一般的なエンタープライズ ユーザーに目に見えないようにすることによって、さらなる損害を引き起こす可能性があります。 たとえば、着陸サイトには、政府のリソースにリンクすると主張するボタンがあり、偽の政府アドバイスページまで開くことができ、誤った情報を広め、機密企業や個人識別情報(PII)を収集することもあります。 被害者は攻撃者によってコントロールされたウィンドウで追加のタブを開くことができ、敵が被害者のブラウジング活動を完全に監視できるようになります。 Fullscreen BitM window displaying legitimate Figma login page and URL in the address bar (Disclaimer: Figma is used as an illustrative example) 他のブラウザもフルスクリーンBitM攻撃に脆弱ですか? Safariと異なり、Firefox、Chrome、Edge、および他のChromiumベースのブラウザは、フルスクリーンモードを変更するたびにユーザーメッセージを表示します。 さらに、攻撃者は暗いモードや色を使用して通知をさらに軽視することもできます. 対照的に、Safari にはメッセージング要件はありません - フルスクリーンモードに入る唯一の視覚的な兆候は「スワイプ」アニメーションです。 したがって、攻撃はSafariのブラウザに明確な視覚的なヒントを示さない一方で、他のブラウザもフルスクリーンBitM攻撃を可能にする同じフルスクリーンAPIの脆弱性にさらされている。 既存のセキュリティソリューションがフルスクリーンBitM攻撃を検出しない 残念ながら、EDRはブラウザにゼロの可視性を持っており、より高度なフルスクリーンバージョンのBitM攻撃を検出する際に時代遅れであることが証明されています。 さらに、リモートブラウザやピクセル押しなどのテクノロジーで攻撃をオーケストラ化すると、疑わしいローカルトラフィックを排除することによってSASE/SSE検出を回避することも可能になります。 したがって、フィッシング攻撃は、修正できないか、またはブラウザプロバイダーによって修正するのに相当時間がかかるブラウザAPIの建築的制限を悪用するためにより複雑になりつつあるので、企業がブラウザにフルスクリーンBitMのような高度な攻撃を含むために防衛戦略を再検討することが重要です。 このセキュリティ調査についてもっと知るには、ユーザーは訪問することができます。 . https://sqrx.com/fullscreen-bitm https://sqrx.com/fullscreen-bitm SquareXの研究チームはまた、6月5日午前10時、PT/1pm ETでウェビナーを開催し、攻撃の完全な連鎖に深く浸透します。 . ここ ここ SquareXについて ブラウザ検出と応答(BDR)は、組織が積極的にクライアント側のウェブ攻撃を検出し、軽減し、効果的に脅威を追及することを可能にします。 SquareX squarex SquareXは、悪意のあるブラウザ拡張機能、高度なスピアフィッシング、ブラウザ原産のランサムウェア、genAI DLPなど、幅広いブラウザのセキュリティ脅威に対する重要な保護を提供します。 従来のセキュリティアプローチや忙しいエンタープライズブラウザとは異なり、SquareXはユーザーの既存の消費者ブラウザとシームレスに統合し、ユーザーの経験や生産性を損なうことなくセキュリティを向上させます。 SquareXは、ブラウザ内で比類のない可視性とコントロールを提供することで、セキュリティリーダーが攻撃面積を削減し、行動可能なインテリジェンスを獲得し、最新の脅威ベクターであるブラウザに対するエンタープライズのサイバーセキュリティ姿勢を強化することができます。 . www.sqrx.com について www.sqrx.com について The Fullscreen BitM Attack disclosure is part of the プロジェクト. 毎月、SquareXの研究チームは、ブラウザの建築的制限と現在のセキュリティソリューションに焦点を当てた大規模なウェブ攻撃をリリースしています。 で、 そして . ブラウザバグの年 ブラウザ シンクション Polymorphic 拡張 ブラウザ ネイティブ ランサムウェア ブラウザバグの年 ブラウザ シンクション Polymorphic 拡張 ブラウザ ネイティブ ランサムウェア SquareX の BDR についてもっと知るには、ユーザーは SquareX に連絡することができます。 この開示またはブラウザバグの年に関する報道調査については、ユーザーは . founder@sqrx.com イギリス@sqrx.com founder@sqrx.com より イギリス@sqrx.com コンタクト マネージャーPR ジュニア・リーブ squarex イギリス@sqrx.com 
 
 この記事は、HackerNoonのビジネスブログプログラムの下でCybernewswireが発表したプレスリリースです。 This story was published as a press release by Cybernewswire under HackerNoon's Business Blogging. この記事は、Cybernewswireのビジネスブログとして掲載されました。 . プログラム プログラム

This is a PR written by or for the company mentioned within it. The writer has a vested interest in the company and products mentioned within.

Sign Up for Free

Book A Demo

Check Pricing

Visit Website

このオーディオは、ストーリーの元の言語で制作されています。

長すぎる; 読むには

Boost your HackerNoon story @ $159.99! 🚀

SquareXが発見したフルスクリーンBitM攻撃は、ブラウザフルスクリーンAPIを利用して認証情報を盗む

About Author

コメント

ラベル

この記事は

Related Stories

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

AI/ML データレイクのリファレンスアーキテクチャを構築するためのアーキテクトガイド

暗号通貨の成長: 効果的なユーザーペルソナの作成

タップして稼ぐ：テレグラムはソラナより先に次の100億人の暗号通貨ユーザーを獲得する可能性がある

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

AI/ML データレイクのリファレンスアーキテクチャを構築するためのアーキテクトガイド

暗号通貨の成長: 効果的なユーザーペルソナの作成

タップして稼ぐ：テレグラムはソラナより先に次の100億人の暗号通貨ユーザーを獲得する可能性がある

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps