Se ha descubierto un kit de phishing que permite a ciberdelincuentes (aunque tengan pocos conocimientos en este ámbito) crear ventanas falsas para el navegador Chrome que les permita robar información a modo de phishing.

Al iniciar la sesión en muchos sitios web, es habitual contar con la opción de acceder con Google, Microsoft, Apple, Twitter o incluso Steam. Por ejemplo, el formulario de inicio de sesión de DropBox permite iniciar sesión con una cuenta de Apple o Google.

Un ataque muy realista

Al hacer clic en los botones de inicio de sesión en Google o en la aplicación, se mostrará una ventana del navegador de inicio de sesión único (SSO), que te pedirá que introduzcas tus credenciales y que luego inicies sesión con la cuenta.

El nuevo "Ataque del Navegador en el Navegador (BitB o Browser in the Browser)" que se ha descubierto, utiliza plantillas prefabricadas para crear ventanas emergentes de Chrome falsas, pero realistas, que incluyen direcciones URL y títulos personalizados que pueden utilizarse en ataques de phishing.

Básicamente, este ataque crea ventanas falsas del navegador dentro de ventanas reales del navegador (Browser in the Browser) para crear ataques de phishing que parecen muy realistas.

La creación de ventanas emergentes es un phishing común

Los actores de amenazas han intentado crear en el pasado estas ventanas SSO falsas utilizando HTML, CSS y JavaScript. De todos modos, normalmente hay algo raro en las …