Главная   Аналитика   Безопасность    Наука и технологии   Проекты    Soft   Hard   О том, о сём    Контакты

Group-IB предупредила о новом способе кражи аккаунтов Steam

23.01.2023

Компания Group-IB, которая специализируется на кибербезопасности, обнаружила новый способ кражи аккаунтов пользователей видеоигрового сервиса Steam с помощью техники Browser-in-the-Browser: она позволяет создать в окне сайт, почти неотличимый от настоящего.

Новая схема предполагает, что злоумышленник создает на фишинговом ресурсе всплывающее окно, скопированное с настоящего сайта. Как правило, в нем есть интерфейс для входа в учетную запись. Чтобы заставить жертву перейти на ресурс и воспользоваться этим окном, злоумышленники распространяют в тематических чатах и пабликах сообщения с приглашением поучаствовать в киберспортивном турнире или проголосовать за одну из команд. Пользователям могут также предложить купить билет на мероприятие или получить внутриигровой предмет. Некоторые мошенники могут заманивать игроков на ресурс рекламой на стримах и других видео по игре у блогеров.

Аутентификация на платформе Steam проходит через всплывающее окно, поэтому жертва может ничего не заподозрить. Окно всплывает на той же вкладке, а не на новой, как это обычно происходит в Steam, поэтому пользователи охотнее доверяют фишинговому ресурсу, утверждают эксперты.

Окно ввода данных, похожее на часть интерфейса Steam, открывает нажатие почти любой кнопки на сайте, говорят в Group-IB. Чтобы повысить шанс на успех, мошенники вставляют в него поддельный «зеленый замочек» — иконку SSL-сертификата организации. Ссылка в адресной строке фальшивого всплывающего окна при этом не отличается от настоящей: ее можно выделить, скопировать и открыть в другой вкладке.

Кнопки в поддельном окне работают корректно, само окно можно свободно перемещать по экрану. Владельцы фишинговых ресурсов, которые эксперты обнаружили в июле, также предусмотрели возможность выбора одного из 27 языков (Steam поддерживает 28).

Данные пользователя, который решит их ввести, платформа сразу перешлет злоумышленнику. В то же время система автоматически введет эти данные на официальной платформе Steam. Если пароль и логин не подойдут, ресурс выдаст пользователю ошибку, причем уведомление и его интерфейс будут скопированы по подобию официального.

Источник – РБК

Тема:Безопасность

© 2014. ИТ-Текст. Все права защищены.