El nuevo ataque de Phishing "Ataque del Navegador en el Navegador (BitB o Browser in the Browser)" utiliza plantillas prefabricadas para crear ventanas emergentes de Chrome falsas, pero muy realistas, que incluyen direcciones URL y títulos personalizados que pueden utilizarse en ataques de phishing. Explora una técnica de phishing que simula una ventana del navegador dentro del mismo para suplantar un dominio legítimo. No es una técnica nueva ya que se ha usado para robar credenciales de Steam desde 2020.

Formularios falsos para robar contraseñas en Chrome

Básicamente, este ataque crea ventanas falsas del navegador dentro de ventanas reales del navegador (Browser in the Browser) para crear ataques de phishing que parecen muy realistas.

• Una sencilla ventana emergente para el inicio de sesión de Facebook, Microsoft, Canva o Google.
• Una ventana tan realista que hacer que ver modifica la URL para que el engaño sea casi imperceptible

Plantillas de Phishing en GitHub

Las plantillas de ataque Browser in the Browser fueron creadas por el investigador de seguridad mr.d0x, que publicó las plantillas en GitHub. Estas plantillas incluyen las de Google Chrome para Windows y Mac y las variantes de modo oscuro y claro y están disponibles en GitHub.

mr.d0x afirma que las plantillas son muy sencillas de utilizar para crear ventanas emergentes de Chrome que muestren formularios de inicio de sesión único para cualquier plataforma en línea y que se muestran muy realistas.

El investigador dijo que los ciberdelincuentes podrían simplemente descargar las plantillas, editarlas para que contengan la URL y el título de la ventana que se quiera, y luego utilizar un iframe para mostrar el formulario de inicio de sesión.

Aprovechando el código Java Script "si se agrega un evento onclick, al pasar el ratón sobre el enlace se seguirá mostrando el sitio web real, pero cuando se hace clic en el enlace, href lo ignora y conduce al falso. Podemos usar este conocimiento para hacer que la ventana emergente parezca más realista"

La ventana emergente se puede mover por la pantalla como haría la real. "El usuario objetivo todavía tendría que aterrizar en el sitio web falso para que se muestre la ventana emergente. Pero una vez que llega estará tranquilo mientras escribe sus credenciales en lo que parece ser el sitio web legítimo (porque la URL confiable lo dice)" concluye.

Will Dormann publica en su canal de YouTube un sencillo truco que todo el mundo puede aprovechar para examinar la credibilidad de las ventanas emergentes de aquí en adelante. Minimizar la ventana, pinchando en el logo del navegador en la barra de tareas como se muestra en el vídeo es posible diferenciar si se trata de una estafa o no.

Fuentes:
https://www.genbeta.com/actualidad/este-kit-phishing-permite-a-crear-ventanas-emergentes-chrome-falsas-para-robar-tu-informacion

https://www.elespanol.com/omicrono/software/20220318/cuidado-phishing-hiperrealista-calca-navegador-forma-detectarlo/658184198_0.html