موارد مهم
- یک محقق امنیتی نشان داده است که چگونه می توان از مکانیسم پرداخت با یک کلیک PayPal برای سرقت پول با یک کلیک سوء استفاده کرد.
- محقق ادعا می کند این آسیب پذیری برای اولین بار در اکتبر 2021 کشف شد و تا امروز اصلاح نشده باقی مانده است.
- کارشناسان امنیتی جدید بودن این حمله را ستایش می کنند، اما در مورد استفاده در دنیای واقعی آن تردید دارند.
با توجه به تسهیلات پرداخت PayPal، تنها با یک کلیک مهاجم برای تخلیه حساب PayPal شما نیاز دارد.
یک محقق امنیتی نشان داده است که به ادعای او آسیب‌پذیری هنوز اصلاح نشده در PayPal است که اساساً می‌تواند به مهاجمان اجازه دهد پس از فریب دادن آنها به کلیک کردن بر روی یک پیوند مخرب، حساب PayPal قربانی را خالی کنند، چیزی که از نظر فنی به عنوان clickjacking نامیده می‌شود. حمله.
براد هونگ، vCISO، Horizon3ai، از طریق ایمیل به Lifewire گفت: «آسیب‌پذیری کلیک جک PayPal از این نظر منحصربه‌فرد است که معمولاً ربودن یک کلیک، مرحله اول برای راه‌اندازی حملات دیگری است. "اما در این مثال، با یک کلیک، [حمله کمک می کند] مبلغ پرداخت سفارشی تعیین شده توسط مهاجم را مجاز می کند."
کلیک های ربودن
Stephanie Benoit-Kurtz، هیئت علمی ارشد کالج سیستم‌های اطلاعات و فناوری در دانشگاه فینیکس، افزود که حملات کلیک‌جک قربانیان را فریب می‌دهند تا تراکنش‌هایی را انجام دهند که باعث آغاز فعالیت‌های مختلف می‌شود.
"بنویت-کورتز از طریق ایمیل به Lifewire گفت: "از طریق کلیک، بدافزار نصب می‌شود، بازیگران بد می‌توانند لاگین‌ها، گذرواژه‌ها و سایر موارد را در دستگاه محلی جمع‌آوری کنند و باج‌افزار را دانلود کنند."این آسیب‌پذیری علاوه بر سپرده‌گذاری ابزارها در دستگاه فرد، به بازیگران بد اجازه می‌دهد تا از حساب‌های PayPal پول بدزدند.»
هنگحملات کلیک جک را با رویکرد جدید مدرسه که بستن پنجره‌های بازشو در وب‌سایت‌های جریان غیرممکن است مقایسه کرد. اما به جای مخفی کردن X برای بسته شدن، کل چیز را برای تقلید از وب‌سایت‌های عادی و قانونی پنهان می‌کنند.
"هنگ توضیح داد: "حمله کاربر را فریب می دهد تا فکر کند روی یک چیز کلیک می کند در حالی که در واقع چیزی کاملاً متفاوت است." "با قرار دادن یک لایه مات در بالای یک منطقه کلیک در یک صفحه وب، کاربران خود را به هر جایی که متعلق به یک مهاجم است هدایت می کنند، بدون اینکه هرگز بدانند."
پس از بررسی جزئیات فنی این حمله، هانگ گفت که با سوء استفاده از رمز قانونی PayPal، که یک کلید رایانه ای است که روش های پرداخت خودکار را از طریق PayPal Express Checkout مجاز می کند، کار می کند.
این حمله با قرار دادن یک پیوند مخفی در داخل چیزی که iframe نامیده می شود با مجموعه کدورت صفر آن در بالای تبلیغ برای یک محصول قانونی در یک سایت قانونی کار می کند.
"لایه پنهان شما را به چیزی که ممکن است شبیه صفحه محصول واقعی به نظر برسد هدایت می کند، اما در عوض، بررسی می کند که آیا قبلاً به PayPal وارد شده اید یا نه، و اگر چنین است، می تواند مستقیماً از [شما] پول برداشت کند.] حساب PayPal، "Hong را به اشتراک گذاشت.
این حمله کاربر را فریب می دهد تا فکر کند روی یک چیز کلیک می کند در حالی که در واقع چیزی کاملاً متفاوت است.
او اضافه کرد که برداشت با یک کلیک منحصر به فرد است و کلاهبرداری های بانکی مشابه با کلیک جک معمولاً شامل چندین کلیک برای فریب قربانیان برای تأیید انتقال مستقیم از وب سایت بانکشان است.
تلاش زیاد؟
کریس گوتل، معاون مدیریت محصول در ایوانتی، گفت راحتی چیزی است که مهاجمان همیشه به دنبال استفاده از آن هستند.
«پرداخت با یک کلیک با استفاده از سرویسی مانند PayPal یک ویژگی راحت است که مردم به استفاده از آن عادت می‌کنند و اگر مهاجم پیوند مخرب را به خوبی ارائه دهد، احتمالاً متوجه مشکلی در تجربه نخواهند شد.» از طریق ایمیل.
برای نجات ما از گرفتار شدن به این ترفند، بنوا-کورتز پیشنهاد کرد که از عقل سلیم پیروی کنید و روی پیوندها در هر نوع پنجره بازشو یا وب سایتی که به طور خاص به آنها نرفته ایم، و همچنین در پیام ها و ایمیل ها کلیک نکنید. که ما آن را آغاز نکردیم.
بنویت-کورتز خاطرنشان کرد: «جالب است که این آسیب‌پذیری در اکتبر ۲۰۲۱ گزارش شد و از امروز، یک آسیب‌پذیری شناخته شده باقی مانده است.»
ما به PayPal ایمیل زدیم تا نظرات آنها را در مورد یافته های محقق جویا شویم اما پاسخی دریافت نکردیم.
با این حال Goettl توضیح داد که اگرچه ممکن است این آسیب‌پذیری هنوز برطرف نشده باشد، اما بهره‌برداری از آن آسان نیست. برای اینکه این ترفند کار کند، مهاجمان باید به یک وب‌سایت قانونی که پرداخت‌ها را از طریق PayPal می‌پذیرد نفوذ کنند و سپس محتوای مخرب را برای کلیک کردن افراد وارد کنند.
"این احتمالاً در مدت زمان کوتاهی پیدا می شود، بنابراین قبل از اینکه حمله احتمالاً کشف شود، تلاش زیادی برای سود کم خواهد بود."
