Ein Sicherheitsforscher namens Paulos Yibelo hat eine neue Angriffstechnik entdeckt, die auf Benutzer abzielt. Die Attacke nutzt gefälschte CAPTCHA-Benachrichtigungsseiten, um Nutzer dazu zu ermutigen, durch einen Doppelklick auf einer schädlichen Seite zu landen.

Diese neue Technik ermöglicht es Angreifern, Benutzerkonten zu stehlen, oft ohne dass das Opfer überhaupt etwas bemerkt, warnen Experten. Die Attacke namens ‚DoubleClickjacking‘ wurde von dem Sicherheitsforscher und Bug-Jäger Paulos Yibelo enthüllt und ist eine Weiterentwicklung etablierter ‚Clickjacking‘-Taktiken, die seit mehr als einem Jahrzehnt existieren. Moderne Browser haben das Risiko von Clickjacking durch die Nichtübermittlung von Cookies zwischen Websites verringert, wodurch einzelne Klick-Hacks für Hacker seltener geworden sind. Die Angreifer sind jedoch einen Schritt weitergegangen, indem sie einen zweiten Klick hinzugefügt haben.

Die Technik funktioniert, indem die Nutzer dazu ermutigt werden, ‚doppel zu klicken‘, indem sie sich als ‚CAPTCHA‘-Benachrichtigungen ausgeben, die eine Bestätigung durch einen Doppelklick erfordern. Unbemerkt von dem Opfer wird die kurze Zeitspanne zwischen dem ersten und zweiten Klick gegen sie eingesetzt, da der Angreifer ein neues Fenster geöffnet hat, normalerweise die ‚CAPTCHA-Benachrichtigungsseite‘, die dann in der Zeit zwischen dem ersten und zweiten Klick gegen eine bösartige Seite ausgetauscht wird, in einem ‚Trick der Fingerfertigkeit‘. Die Gefahr bei diesem Angriff ist offensichtlich, da die meisten Abwehrmaßnahmen nicht auf Doppelklicks ausgelegt sind und Schutzmaßnahmen in Web-Apps und Frameworks umgangen werden. Die Technik kann auch auf mobilen Websites verwendet werden, um die Nutzer zum ‚Doppeltippen‘ aufzufordern. DoubleClickjacking kann dazu verwendet werden, API- und OAuth-Berechtigungen für viele große Websites zu erhalten und ist laut dem Forscher ‚äußerst weit verbreitet‘. Dies kann schwerwiegende Folgen für das Opfer haben, insbesondere da so wenig Benutzerinteraktion erforderlich ist.

„DoubleClickjacking ist ein Fingerfertigkeits-Trick bei einer gut bekannten Angriffsklasse. Durch die Ausnutzung des zeitlichen Abstands zwischen den Klicks können Angreifer harmlose UI-Elemente nahtlos gegen sensible austauschen, im Handumdrehen“, bemerkte Yibelo.