Neuer ClickJacking-Angriff erlaubt das Ausspionieren von Web-Inhalten Ihres Browsers

Auf der Sicherheitskonferenz Black Hat Europe in Spanien wurde ein neuer ClickJacking-Angriff demonstriert.

Mit dieser neuen ClickJacking-Attacke können Angreifer nun auch Inhalte von geöffneten Web-Seiten kopieren.

Bei ClickJacking-Angriffen wird ein unsichtbares Fenster in Form eines iFrames unter dem Mauszeiger des Besuchers der Web-Seite eingefügt. Die Klicks des Besuchers wirken sich dann auf die unsichtbare Seite aus anstatt auf die Inhalte, auf die der Besucher glaubt zu klicken.

Bereits mit früheren ClickJacking-Angriffen haben Angreifer beispielsweise das Fenster mit der Konfiguration für den Flash Player unsichtbar unter dem Mauszeiger von Besuchern einer Web-Seite versteckt. Ohne es zu wissen, gaben die Besucher dann mit wenigen Klicks der Seite den Zugriff auf die eigene WebCam und das Mikrofon frei und konnten damit ausspioniert werden.

Die Weiterentwicklung dieses Angriffs nutzt nun die Drag&Drop-Funktion der Browser, mit der Inhalte zwischen den Fenstern ausgetauscht werden können. Damit kopieren die Angreifer z.B. Inhalte von geöffneten Seiten in unsichtbare iFrames und erbeuten so Informationen über aktuell geöffnete Internetseiten. Wenn Angreifer bei Benutzern, die auf einer Web-Seite eingeloggt sind, mit diesem Angriff die Session-ID auslesen, können die Angreifer unter Umständen auch die Sitzung des Besuchers auf der Web-Seite übernehmen.

Aktuelle Browser (Internet Explorer 8, Safari 4 und Chrome 2) schützen Sie bereits vor solchen Angriffen, wenn die aufgerufene Seite die Darstellung von unsichtbaren iFrames per Header-Eintrag verbietet. Das nutzen allerdings leider bisher nur große Internetportale wie Facebook und Google.