Attacco DoubleClickjacking per accedere all'account

Il clickjacking o UI redressing è una nota tecnica che permette ai cybercriminali di ingannare l’utente durante la navigazione, invitandolo a cliccare con il mouse su pulsanti o link fasulli. Un esperto di cybersicurezza ha descritto una nuova tecnica, denominata DoubleClickjackng, che può aggirare le attuali protezioni dei browser. L’obiettivo finale è prendere il controllo dell’account.

Come funziona il DoubleClickjacking

L’attacco clickjacking prevede il caricamento di una pagina legittima (all’interno di un iframe nascosto) sulla pagina creata dal cybercriminale. Quest’ultima ha pulsanti e link nella stessa posizione della pagina legittima. L’utente viene invitato a cliccare per vincere un premio o visualizzare un’immagine, ma in realtà clicca sulla pagina nascosta (invisibile). L’ignara vittima potrebbe così eseguire azioni indesiderate, come autorizzare un’applicazione ad accedere all’account tramite OAuth.

I browser moderni offrono funzionalità che mitigano questo tipo di attacco, tra cui il blocco dei cookie cross-site o l’intestazione HTTP X-Frame-Options che impedisce l’uso degli iframe. L’attacco DoubleClickjackng aggira queste protezioni sfruttando il doppio clic del mouse.

Nella pagina creata dal cybercriminale è presente un pulsante. Quando l’utente clicca sul pulsante viene aperta una seconda pagina che copre quella originale e aperta la pagina target (che permette ad esempio l’autorizzazione OAuth) al posto di quella originale. Il clic del mouse sulla seconda pagina viene rilevato dall’evento mousedown che chiude la pagina e autorizza un’applicazione ad accedere all’account o l’installazione di un plugin infetto.

La tecnica può essere sfruttata per cambiare le impostazioni di sicurezza o confermare il trasferimento di denaro. DoubleClickjacking funziona anche con le estensioni del browser, quindi permette di autorizzare un pagamento dal wallet di criptovalute o disattivare la VPN per mostrare l’indirizzo IP reale. Il ricercatore suggerisce alcune soluzioni per limitare i rischi.