JavaScript tool verandert PC's in hacker helpende zombies
Een door een beveiligingsonderzoeker ontwikkelde security tool verandert de computers van nietsvermoedende internetters in zombies die helpen bij het vinden van lekken in websites. Het met JavaScript ontwikkelde Jikto zal later deze week tijdens de ShmooCon hacker conferentie worden uitgebracht. "Dit zal de omvang van gevaarlijke dingen die je met JavaScript kunnen doen drastisch veranderen. Jikto verandert elke PC in een kleine zombie. Je PC zal voor mij websites aanvallen, en mij alle resultaten geven" aldus onderzoeker Billy Hoffman.
Jikto is een webapplicatie vulnerability scanner, en kan stilletjes publieke websites auditen en de resultaten naar een derde partij sturen. De software kan op de site van de hacker worden geembed, maar ook via cross-site scripting op betrouwbare websites worden geplaatst.
De helft van het hacken van een website bestaat uit het verzamelen van informatie. Een aanvaller kan deze taak nu over veel gebruikers verdelen, gaat Hoffman verder. Als extra bonus is het voor de getroffen website niet te doen om de identiteit van de dader te achterhalen, omdat de site door nietsvermoedende internetters wordt gescand die toevallig met Jikto zijn "geinfecteerd".
Gebruikers kunnen volgens Hoffman weinig tegen Jikto en andere JavaScript-gebaseerde dreigingen doen. "Ik infecteer je niet met een Trojan of backdoor. Ik compromitteer ook niet je computer, en dat maakt dit zo gevaarlijk. Anti-virus zal je namelijk niet helpen".
effectief tegen is...
Het zal mij benieuwen of de NoScript plugin ook hier
effectief tegen is...
Ik denk het wel. Maar ook hier hangt de werking af van een
goede configuratie van deze scriptblokker. Het zou ook
kunnen dat de ontwerper hier rekening mee gehouden heeft.
Maar ook hier is iets weer tegen te doen, door de opties van
NoScript zodanig te bewerken dat elke website als onbetrouwbaar
wordt afgehandeld.
site and then silently installing itself on a user's PC. It
can then operate in one of two modes. In one mode, Jikto
crawls a specific Web site in much the same way that a Web
application scanner would, looking for common
vulnerabilities, such as XSS or SQL injection. It then
reports the results to whatever machine is controlling it.
In the other mode Jikto calls home to the controlling PC and
tells it that it has installed itself on a new machine, and
then awaits further instructions from the controller.
Jikto's master controller has the ability to keep track of
which infected machines are online and active at any given
time, enabling an attacker to wait until a PC is idle before
sending instructions to a bot. This could help the attacker
avoid alerting the user of the infected machine to Jikto's
presence. All of this is done in pure JavaScript and,
Hoffman said, helped along by the huge explosion in the
number of AJAX-based applications on the Web in the last
year or so. AJAX gives users—and attackers—direct access to
the APIs in a Web application, which can be quite useful if
you're trying to send malicious commands to back-end
applications.
Voldoende mogelijkheden om de tool "useless" te maken dus...
TT
PC zal voor mij websites aanvallen"
EN
"Ik compromitteer ook niet je computer"
Hmmmm, als die tool net zo logisch in elkaar zit als dit gewauwel, dan belooft dat wat...
Inderdaad, het zal allemaal wel;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.