Um ataque Man-in-the-Browser ocorre quando um malware infecta um navegador web, permitindo que ele modifique páginas web, o conteúdo de transações ou insira transações adicionais de forma oculta. Esses ataques são especialmente perigosos porque conseguem contornar muitos controles de segurança tradicionais, incluindo o HTTPS e a autenticação de dois fatores.
Um ataque man-in-the-browser (MitB) depende de malware, muitas vezes um trojan ou uma extensão de navegador maliciosa, que se instala dentro do navegador da vítima. Uma vez residente, ele se conecta às funções do navegador para poder ler e reescrever páginas conforme elas são exibidas e conforme os dados são enviados. Durante uma sessão de internet banking, por exemplo, o malware pode mostrar ao usuário os valores e destinatários que ele espera enquanto altera silenciosamente a transação que de fato é enviada ao servidor, ou injetar campos extras no formulário para capturar credenciais. Como a adulteração acontece após a descriptografia, dentro do navegador confiável, a manipulação é invisível tanto para o usuário quanto para o servidor que recebe a requisição.
O MitB derrota controles que presumem que o próprio navegador é confiável. A conexão continua sendo um HTTPS válido, então a criptografia não ajuda; a sessão pertence ao usuário legítimo, então a autenticação do lado do servidor passa; e, como o malware manipula a sessão ativa em tempo real, ele pode derrotar muitos esquemas de senha de uso único e de dois fatores aproveitando uma sessão já autenticada. O usuário vê uma página normal e de aparência correta enquanto dados diferentes chegam ao backend. Isso torna o MitB um favorito para fraude financeira e tomada de contas, e ele pode persistir por várias sessões até que a infecção subjacente seja encontrada e removida do dispositivo.
Como o malware vive no próprio dispositivo da vítima, a higiene do endpoint é central: antimalware atualizado, instalação cautelosa de extensões e aplicação rápida de correções. Do lado do servidor, a verificação de transações fora de banda, mostrando os detalhes reais em um canal separado como um aplicativo móvel ou SMS, permite que os usuários percebam valores que foram alterados no navegador. Note o limite dessa capacidade: uma infecção no próprio navegador do visitante fica fora dos scripts que um site carrega, então um monitor de scripts de terceiros não consegue removê-la. A cside é relevante para o caso adjacente em que a manipulação chega por meio de um script de terceiros comprometido ou de código injetado em suas páginas; ela analisa essas payloads em um método Script e pode bloquear o comportamento malicioso em tempo real.
Não. O HTTPS protege os dados em trânsito entre o navegador e o servidor, mas um ataque man-in-the-browser opera dentro do navegador, depois que a página é descriptografada e antes que um envio seja criptografado. O canal permanece válido enquanto o conteúdo é adulterado, então o cadeado não oferece nenhuma proteção aqui.
Um atacante man-in-the-middle intercepta o tráfego no caminho de rede entre o navegador e o servidor, algo que o HTTPS em grande parte derrota. O man-in-the-browser fica dentro do próprio endpoint por meio de malware, então ele vê e edita dados que já estão descriptografados. Esse posicionamento permite que ele contorne totalmente a criptografia e muitas verificações de dois fatores.
We answer client-side security questions every day. Bring yours.