什麼是點擊劫持(clickjacking)?

點擊劫持(clickjacking)是一種將惡意程式隱藏在看似正常的網頁中,並誘使使用者點擊的手段。比如受害人收到一封包含一段影片的電子郵件,但按下「播放」按鈕並不會真正播放影片,反而是被誘騙到另一個購物網站。

相關案例:

以”你的照片”為餌的點擊劫持(clickjack)最常出現在Facebook、Twitter、Google+

《點擊劫持(clickjacking)》攻擊想更換Facebook情人節專屬布景嗎?小心上網被監視

 

以”你的照片”為餌的點擊劫持(clickjack)最常出現在Facebook、Twitter、Google+

Sherry在深夜裡收到一則從親密好友所傳來的Twitter私密訊息 – 「沒有看過你的這張照片呀,哈哈」,還包含一個短網址。因為這位朋友是個攝影師,也有她的照片。所以收到這訊息並不奇怪。於是她點了進去,賓果!這個常用的社交工程陷阱( Social Engineering),讓她就此中了clickjacking點擊劫持。你猜到了嗎?這假造朋友發的訊息,裡面的網站連結導到一個會偷密碼的假Twitter網站。

註:點擊劫持(clickjacking)是一種將惡意程式隱藏在看似正常的網頁中,並誘使使用者點擊的手段。比如受害人收到一封包含一段影片的電子郵件,但按下「播放」按鈕並不會真正播放影片,反而是被誘騙到另一個購物網站。

 

假的 Twitter 登錄頁面,一直出現密碼錯誤訊息,其實密碼已經被偷了

當Sherry從iPad點入這私密訊息裡的網頁連結,行動瀏覽器帶她到看來像是Twitter的登錄頁面,,即使她覺得很奇怪,為什麼照片沒有出現在Twitter應用程式瀏覽器內。正在看電視影集的她心不在焉的,試了幾次輸入帳號密碼,「假Twitter網站」都顯示密碼錯誤。她很沮喪也放棄了,就上床睡覺了。但這錯誤的嚴重性一直到幾個小時之後就浮現了。

點擊劫持的後果

Sherry睡不著,看了看手機,凌晨四點半。手機出現訊息通知,有則來自朋友的Twitter私密訊息,問說:「你傳給我的是垃圾訊息嗎?還是你真的有我好笑的圖片?」”哦,不!我做了什麼?”Sherry 知道麻煩來了,只因為她點了那個連結。

一整天裡Sherry收到數十封簡訊、Twitter推文、電子郵件和Facebook留言,告訴她有人駭入她的Twitter帳號。

因為登錄到「假Twitter」網站,而給了非法份子Twitter帳號密碼。他們就可以登錄到Sherry真正的Twitter帳號,發送一樣的垃圾訊息跟惡意連結 – 「沒有看過你的這張照片呀,哈哈」給所有關注我的人,讓這起犯罪攻擊繼續循環下去。這就是所謂的clickjacking點擊劫持。通常出現在社群媒體的動態消息、塗鴉牆和私密訊息(Facebook、Twitter、Google+等等),讓不知情的人點入會竊取密碼和資料的網站。

這結果可能很災難性,如果你的銀行帳號和社群媒體帳號使用相同密碼的話。網路犯罪份子可能會登錄到銀行帳戶,並在幾小時內偷走被害者的錢、身份認證以及盜刷信用卡。

如果你已經中了點擊劫持該怎麼辦?

  1. 如果你懷疑可能中了點擊劫持,馬上變更你的密碼。然後檢查是否有任何新應用程式有權限連到你的帳號,因為它們可能是惡意的,並且會竊取資料。(當你改變密碼時,Twitter會強迫你檢查所有有權限連到你帳號的應用程式。)
  2. 如果你有其他重要帳使用已經被竊取的密碼,要馬上全部更換,而且不要使用相同的密碼。 Continue reading “以”你的照片”為餌的點擊劫持(clickjack)最常出現在Facebook、Twitter、Google+"

《點擊劫持(clickjacking)》攻擊想更換Facebook情人節專屬布景嗎?小心上網被監視

 

有個標榜可以幫 Facebook 換張「臉」的應用程式「Install Facebook Valentines Theme!:D」,正在準備擄獲想嘗鮮的臉書用戶(如下圖 趨勢科技表示該點擊劫持(clickjacking攻擊,會自動地幫你加入幾個Facebook粉絲頁面,也會自動發訊息在中毒使用者的塗鴉牆上,邀請朋友們在他們的Facebook個人檔案安裝情人節佈景主題。該木馬病毒TROJ_FOOKBACE.A 還會監控中毒者網路活動。  

 

有個標榜可以幫 Facebook 換張「臉」的應用程式「Install Facebook Valentines Theme!:D」,正在準備擄獲想嘗鮮的臉書用戶。(

   使用者一旦點了這留言,就會被重新導向到另一個網頁,並要求他們安裝佈景主題。值得注意的是,這次攻擊只針對Google ChromeMozilla Firefox這兩種瀏覽器。

  

 點擊頁面上的「INSTALL」按鈕,會出現惡意檔案(趨勢科技偵測為TROJ_FOOKBACE.AFacebookChrome.crx)的下載視窗。開啟後,TROJ_FOOKBACE.A會執行一個腳本來顯示從某些網站來的廣告。 Continue reading “《點擊劫持(clickjacking)》攻擊想更換Facebook情人節專屬布景嗎?小心上網被監視"