Tabjacking/Tabnabbing: Vad är det?

Den ödmjuka webbläsarfliken är något vi tar för givet idag, och de flesta av oss har förmodligen aldrig tänkt på vilken inverkan det har haft på vårt sätt att surfa på internet. Konceptet dök upp först i det som nu är en lite känd webbläsare som heter NetCaptor för mer än 20 år sedan, och även om antagandet ursprungligen var långsamt, när Opera och Firefox introducerade det i början av 2000-talet insåg Microsofts Internet Explorer att det inte hade något annat alternativ än att följa paketet och flikarna blev normen.

Numera ger de oss flexibiliteten att fokusera på flera olika uppgifter samtidigt. Tack vare webbläsarflikar kan vi snabbt växla mellan webbsidor och vi kan hitta de resurser vi behöver inom några sekunder. Flikar är massivt användbara, men de kan också vara en mycket bra attackvektor.

Vad är tabnabbing eller tabjacking?

Konceptet diskuterades först för tio år sedan när säkerhetsforskare insåg att en enkel men smart teknik kunde tillåta cyberbrottslingar att dra ut det som är potentiellt en extremt smart phishingattack. Här är scenariot.

Låt oss säga att under din arbetsdag har du ungefär ett dussin webbläsarflikar som måste öppnas hela tiden. En av webbplatserna som öppnats i en flik har tidigare komprometterats av hackare som har injicerat en bit JavaScript-kod. När du fokuserar på en annan flik ändrar den skadliga koden tyst innehållet på fliken som den öppnas på, och i stället för webbplatsen du har laddat själv visar den en skadlig kolkopia av Gmail-inloggningssidan. Vid ett tillfälle går du igenom alla flikar du har öppnat och du märker inloggningsprompt. Med tanke på att Gmail automatiskt har loggat in dig från ditt konto, anger du ditt användarnamn och lösenord, den skadliga JavaScript-koden skickar referenser till skurkarna, och för att göra sakerna ännu mer trovärdiga omdirigerar du dig till det verkliga Gmail. Eftersom du faktiskt aldrig loggades ut från ditt konto är det mycket troligt att du ser innehållet i din inkorg och misstänker ingenting.

Som ni ser är det en smart attack, men hur troligt är du att bli offer för den?

Tabnabbing kämpar för att få popularitet hos cyberbrottslingar

2010 diskuterade Brian Krebs attacken i detalj och förklarade hur många fördelar det har framför de mer traditionella verktygen eller hackarens handel. Då hade informationssäkerhetsspecialister redan kommit med några bevis-of-concept-sidor, som visade hur tabnabbing kan fungera i naturen. Sedan dess har vi sett ännu mer polerade mönster som övervann några tekniska svårigheter. De publicerades emellertid alla av säkerhetsforskare och de visades alla med idén att skydda och utbilda användare, inte skada dem.

Vi har ännu inte sett några storskaliga tabnabbattacker mot intetanande Internetanvändare. Det ser ut som att för närvarande åtminstone skurkarna föredrar att använda mer traditionella system för att stjäla folks referenser. Det är inte lätt att motivera detta beslut.

Tabnabbing innebär verkligen att kompromissa med en webbplats och injicera kod i den, vilket gör den mer till en teknisk utmaning. Samtidigt är emellertid den sociala tekniken som ingår i de klassiska phishing-kampanjerna frånvarande i detta fall. Kanske de flesta skurkarna är nöjda med resultatet av de beprövade metoderna och anser att den extra innovationen inte är värt ansträngningen. Med detta sagt får du inte underskatta hotet.

Vad kan du göra för att skydda dig från tabnabbing?

Uppenbarligen kan en tabnabbangrepp bara fungera mot användare som inte har för vana att stänga sina inaktiva flikar. Tyvärr är det för många människor lättare sagt än gjort att använda färre flikar. Ändå kan bättre flikhantering alltid hjälpa. Experter rekommenderar att använda flera webbläsarfönster och ordna olika uppsättningar uppgifter i dem. Även om det inte är idiotsäkert, kan det bara hjälpa dig att se något misstänkt.

Ur ett tekniskt perspektiv kan du försöka använda ett tillägg som Inget skript för att blockera eventuellt skadlig kod från tyst uppdaterade sidor och ladda falska inloggningsformulär. Om du låter det blockera all JavaScript-kod fungerar emellertid många av dina favoritwebbplatser inte ordentligt, och för de flesta användare är det för svårt att manuellt välja vilka skript som ska stoppas.

Det som verkligen kan rädda dig är din egen uppmärksamhet på detaljer. Som vi redan nämnde förlitar sig en tabnabbangrepp på ett falskt inloggningsformulär, och det bra med falska inloggningsformulär är att de inte kan vara värd på den domän de försöker efterge sig. Om du fastställer vanan att dubbelkontrollera adressfältet i din webbläsare innan du anger ditt användarnamn och lösenord, har du en god chans att skydda dig från både tabnabbing och från mer traditionell phishing.