Το νέο λογισμικό Flash Player 10 που κυκλοφόρησε την Τετάρτη διορθώνει ελαττώματα ασφαλείας στο λογισμικό πολυμέσων της Adobe, συμπεριλαμβανομένων σφαλμάτων που θα μπορούσαν να επιτρέψουν στους χάκερς η οποία είναι γνωστή ως επίθεση clickjacking, έγραψε ο εκπρόσωπος της Adobe, David Lenoe, σε μια ανάρτηση ιστολογίου.

Αν και δεν χρησιμοποιείται ευρέως από τους εγκληματίες, το clickjacking έχει λάβει μεγάλη προσοχή από τότε που συζητήθηκε για ένα μήνα πριν. Το Flash δεν είναι το μόνο λογισμικό που είναι ευάλωτο σε επίθεση clickjacking, αλλά οι επιθέσεις Flash θεωρούνται από τις πιο επικίνδυνες.

Οι ερευνητές της ασφάλειας που ανακάλυψαν το πρόβλημα, ο Robert Hansen και ο Jeremiah Grossman, σκόπευαν να συζητήσουν πλήρως το clickjacking μια παρουσίαση της διάσκεψης ασφαλείας στις 24 Σεπτεμβρίου. Αλλά επέστρεψαν και έδωσαν μια λεπτότερη έκδοση της ομιλίας τους, όταν η Adobe ζήτησε περισσότερο χρόνο για να επισκευάσει το λογισμικό της.

Την περασμένη εβδομάδα, όμως, ο ερευνητής ασφάλειας Guy Aharonovsky έδειξε πως θα λειτουργήσει μια επίθεση clickjacking του Adobe Flash. οι πληροφορίες που βγαίνουν τώρα ανοιχτά, οι Hansen και Grossman δημοσιεύθηκαν με τα ευρήματά τους.

Σε μια επίθεση με clickjacking, ο χάκερ χρησιμοποιεί μια ποικιλία τεχνικών για να πάρει τον έλεγχο των συνδέσεων που κάνει το θύμα να κάνει κλικ. Σε μια επίθεση, για παράδειγμα, ο επιτιθέμενος θα πρέπει πρώτα να εξαπατήσει το θύμα να επισκεφθεί μια κακόβουλη ιστοσελίδα και στη συνέχεια να κάνει κλικ σε αυτό που φαίνεται να είναι ένας κανονικός σύνδεσμος στο Web. Στην πραγματικότητα το θύμα θα έκανε κλικ σε κάτι εντελώς διαφορετικό, όπως ένα αντικείμενο Flash που ενεργοποίησε το μικρόφωνο του. "Είναι σχεδόν αδύνατο για τον χρήστη να καθορίσει τι θα συμβεί όταν κάνει κλικ σε έναν σύνδεσμο", δήλωσε ο Χάνσεν, ο οποίος είναι Διευθύνων Σύμβουλος της SecTheory.org, σε συνέντευξή του την περασμένη εβδομάδα

Ένας clickjacker θα μπορούσε να παραδώσει τους υπολογιστές των θυμάτων, να δημιουργήσουν νέους λογαριασμούς αλληλογραφίας Web ή ακόμα και να τους αναγκάσουν να κατεβάσουν λογισμικό, δήλωσε ο Hansen.

Επειδή το clickjacking επηρεάζει άλλα plug-ins του προγράμματος περιήγησης, ο καλύτερος τρόπος για να διορθώσετε το πρόβλημα του clickjacking μπορεί να είναι να αλλάξει ο τρόπος λειτουργίας των browsers, είπε ο Hansen. "Οι υπεύθυνοι για το πρόγραμμα περιήγησης κατανοούν το πρόβλημα και προσπαθούν να βρουν τρόπους να το μετριάσουν", ανέφερε.