CursorJacking, una nueva demo

Hace aproximadamente un año, Marcus Niemietz demostró técnica llamada CursorJacking. Esta técnica consiste en engañar a los usuarios mediante el uso de una imagen falsa del puntero del mouse y se muestra su desplazamiento a la derecha de la posición del puntero real. Con un posicionamiento inteligente de los elementos de la página web, un atacante podría dirigir al usuario a hacer clics en elementos deseados de dicha página.

Esta semana Mario Heiderich informó que la técnica funciona con distintos User-Agents, por lo que se podría fácilmente ocultar totalmente el cursor original del mouse original. Si se combina esto con el evento mousemove, una imagen del cursor del mouse y un poco de distracción, tenemos otro vector de ataque:

Aquí hay un "boceto" de ejemplo que utiliza esta técnica para lograr que el usuario haga clic en un botón de Twitter. En la vida real se podría perfeccionar.

Para protegerse, en Firefox se puede utilizar la extensión de NoScript ClearClick (una protección contra clickjacking), ya que detecta los clics en las áreas que están ocultos al usuario (por ejemplo, con la opacidad = 0).

Además también se puede ver otras aproximaciones y ataques similares en esta presentación de On the Fragility and Limitations of Current Browser-Provided Clickjacking Protection Schemes.

Cristian de la Redacción de Segu-Info

Suscríbete a nuestro Boletín