JavaScript tool verandert PC's in hacker helpende zombies
Een door een beveiligingsonderzoeker ontwikkelde security tool verandert de computers van nietsvermoedende internetters in zombies die helpen bij het vinden van lekken in websites. Het met JavaScript ontwikkelde Jikto zal later deze week tijdens de ShmooCon hacker conferentie worden uitgebracht. "Dit zal de omvang van gevaarlijke dingen die je met JavaScript kunnen doen drastisch veranderen. Jikto verandert elke PC in een kleine zombie. Je PC zal voor mij websites aanvallen, en mij alle resultaten geven" aldus onderzoeker Billy Hoffman.
Jikto is een webapplicatie vulnerability scanner, en kan stilletjes publieke websites auditen en de resultaten naar een derde partij sturen. De software kan op de site van de hacker worden geembed, maar ook via cross-site scripting op betrouwbare websites worden geplaatst.
De helft van het hacken van een website bestaat uit het verzamelen van informatie. Een aanvaller kan deze taak nu over veel gebruikers verdelen, gaat Hoffman verder. Als extra bonus is het voor de getroffen website niet te doen om de identiteit van de dader te achterhalen, omdat de site door nietsvermoedende internetters wordt gescand die toevallig met Jikto zijn "geinfecteerd".
Gebruikers kunnen volgens Hoffman weinig tegen Jikto en andere JavaScript-gebaseerde dreigingen doen. "Ik infecteer je niet met een Trojan of backdoor. Ik compromitteer ook niet je computer, en dat maakt dit zo gevaarlijk. Anti-virus zal je namelijk niet helpen".
effectief tegen is...
Het zal mij benieuwen of de NoScript plugin ook hier
effectief tegen is...
Ik denk het wel. Maar ook hier hangt de werking af van een
goede configuratie van deze scriptblokker. Het zou ook
kunnen dat de ontwerper hier rekening mee gehouden heeft.
Maar ook hier is iets weer tegen te doen, door de opties van
NoScript zodanig te bewerken dat elke website als onbetrouwbaar
wordt afgehandeld.
site and then silently installing itself on a user's PC. It
can then operate in one of two modes. In one mode, Jikto
crawls a specific Web site in much the same way that a Web
application scanner would, looking for common
vulnerabilities, such as XSS or SQL injection. It then
reports the results to whatever machine is controlling it.
In the other mode Jikto calls home to the controlling PC and
tells it that it has installed itself on a new machine, and
then awaits further instructions from the controller.
Jikto's master controller has the ability to keep track of
which infected machines are online and active at any given
time, enabling an attacker to wait until a PC is idle before
sending instructions to a bot. This could help the attacker
avoid alerting the user of the infected machine to Jikto's
presence. All of this is done in pure JavaScript and,
Hoffman said, helped along by the huge explosion in the
number of AJAX-based applications on the Web in the last
year or so. AJAX gives users—and attackers—direct access to
the APIs in a Web application, which can be quite useful if
you're trying to send malicious commands to back-end
applications.
Voldoende mogelijkheden om de tool "useless" te maken dus...
TT
PC zal voor mij websites aanvallen"
EN
"Ik compromitteer ook niet je computer"
Hmmmm, als die tool net zo logisch in elkaar zit als dit gewauwel, dan belooft dat wat...
Inderdaad, het zal allemaal wel;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
