La tastiere virtuali della banche sono inutili

Molte banche per combattere il fenomeno dei keylogger software, installati dai più disparati malaware (spyware, worm, trojan ecc), hanno creato delle tastieri virtuali che altro non sono che una pagina html o un animazione in flash che permettono di scrivere in sicurezza (a detta loro) l’user name e i vari pin e password necessari per controllare il proprio contocorrente.

L’ultima generazione di malaware, come Haxdoor l’utlimo uscito, si è evoluta, riconoscendo le url delle banche più diffuse, cattura i dati inviati in http POST dalle tastieri virtuali. Questa tecnica è usata su IE tramite i BHO e sugli altri browser con le API Win32 di Windows.
La tecnica più usata dalle banche, che forniscono tastiere virtuali, è quella di aprire un pop-up insieme alla pagina con il form da completare con le credenziali per poter accedere. A questo punto i tasti premuti sulla tastiera virtuale verranno inviati alla pagina di login.
Solamente dopo che tutti i campi saranno completi i dati verranno inviati al sistema di autenticazione tramite connessione cifrata SSL.

Vi consiglio la lettura delle slides create da Lance James sull’argomento.
Oltre a malaware che intercettano i dati inviati tramite POST ci sono quelli che registrano in un video le operazioni fatte prima del login.

 

Un Commento a 'La tastiere virtuali della banche sono inutili'

Segui i commenti sottoscrivendo il feed RSS oppure TrackBack a 'La tastiere virtuali della banche sono inutili'.

  1. linus

    Allora Matteo, come stare + tranquilli? Sara’ possibile? Dalle tue indicazioni tutto m’appare inquietante!! Io uso anche la tastiera virtuale di win in %windir%\System32\osk.exe ma capisco che finche’ verranno inviati i dati di login dopo che tutti i campi sono completi puo’ essere facile e limitato il campo delle possibilita’ nel poterli combinare al fine di perorare l’accesso fraudolento d’identita’. Non ci resta che attendere l’evoluzione di software ++ incisivi!! ?? Linus

:: Trackbacks/Pingbacks ::

Nessun Trackbacks/Pingbacks

Lascia un Commento