Uma nova técnica de phishing usa aplicativos da web progressivos (PWAs) para imitar as janelas do navegador com endereços da web convincentes para roubar senhas.
Neste artigo, discutimos o que são esses aplicativos, por que eles podem ser perigosos, como os invasores podem usá-los para seus próprios propósitos e como se proteger contra essa ameaça.
Os PWAs são aplicativos desenvolvidos usando tecnologias da web. Basicamente, são sites que parecem e funcionam exatamente como aplicativos nativos instalados em seu sistema operacional.
A ideia geral é semelhante aos aplicativos criados na estrutura Electron, com uma diferença fundamental. Os aplicativos Electron são como um “sanduíche” de um site (o recheio) e um navegador (o pão) dedicado à execução desse site; ou seja, cada aplicativo Electron tem um navegador integrado. Diferentemente, os PWAs utilizam o mecanismo do navegador já instalado no sistema do usuário para exibir o mesmo site – como um sanduíche sem o pão.
Todos os navegadores modernos são compatíveis com PWAs, com os navegadores Google Chrome e baseados em Chromium (incluindo o navegador Microsoft Edge que vem com o Windows) oferecendo a implementação mais abrangente.
Instalar um PWA (se o respectivo site for compatível) é muito simples. Basta clicar em um botão discreto na barra de endereços do navegador e confirmar a instalação. Veja como isso é feito, usando o PWA do Google Drive como exemplo:
Depois disso, o PWA aparece no seu sistema quase instantaneamente, parecendo um aplicativo real — com um ícone, sua própria janela e todos os outros atributos de um programa completo. Não é fácil dizer pela janela do PWA que, na verdade, é um navegador que exibe um site.
Uma diferença crucial entre um PWA e o mesmo site aberto num navegador é evidente na captura de tela acima: a janela do PWA não tem uma barra de endereços. Esse mesmo recurso forma a base do método de phishing discutido neste artigo.
Sem a barra de endereços na janela, os invasores podem simplesmente desenhar suas próprias, exibindo um URL que atende às suas metas de phishing. Por exemplo, assim:
Os criminosos podem aumentar ainda mais a decepção dando ao PWA um ícone familiar.
O único obstáculo restante é convencer a vítima a instalar o PWA. No entanto, isso pode ser facilmente alcançado com uma linguagem persuasiva e elementos de interface inteligentemente projetados.
É importante observar que, durante a caixa de diálogo de instalação do PWA, o nome do aplicativo exibido pode ser qualquer coisa que o invasor desejar. A verdadeira origem só é revelada pelo endereço do site na segunda linha, que é menos perceptível:
O processo de roubar uma senha usando um PWA geralmente se desenrola da seguinte forma:
É claro que convencer a vítima a instalar um aplicativo nativo é igualmente simples, mas há algumas nuances. Os PWAs são instalados significativamente mais rápido e exigem muito menos interação do usuário em comparação com as instalações tradicionais de aplicativos.
Além disso, o desenvolvimento de PWAs é mais simples, pois eles são essencialmente sites de phishing com pequenas melhorias. Esses fatores tornam os PWAs maliciosos uma ferramenta poderosa para os cibercriminosos.
chrome://apps na barra de endereço para visualizar e gerenciar PWAs instalados.
Nosso objetivo é garantir um alto nível de serviço e qualidade nos projetos, para que a sua TI seja usada de forma estratégica, a favor dos seus negócios e das pessoas envolvidas. Assim, sua empresa pode focar no que realmente interessa: no seu core business. Conte com nossos Experts e garanta para sua operação um suporte técnico ágil e eficiente.
2ª Edição do Cyber Day em Joinville: Segurança Inteligente para um Mundo Multicloud
Brasiline oferece solução para evitar ataques de phishing
