浏览器内浏览器攻击：隐形网络钓鱼威胁
浏览器内浏览器（BitB）攻击代表了网络钓鱼技术的演进，在2022年开始大规模出现。这些攻击在合法网站内创建看似真实的虚假浏览器窗口，诱骗用户输入凭证，这些凭证似乎被发送到Google、Microsoft或Facebook等信任的服务。与传统网络钓鱼页面不同，BitB攻击不需要受害者点击可疑链接或访问明显是假的域名。相反，它们会注入逼真的弹出窗口，模仿用户已习惯信任的单点登录（SSO）身份验证流程。 该技术利用用户对OAuth和SSO登录流程的熟悉度，其中点击"使用Google登录"或"使用Microsoft继续"会打开新浏览器窗口。诈骗者使用HTML、CSS和JavaScript重新创建这些窗口，并将其定位在合法网站上方，包括显示https://和正确域名的虚假地址栏。根据网络安全研究公司的数据，这些攻击的成功率比传统网络钓鱼高3到4倍，因为它们绕过了许多用户执行的视觉安全检查。 金融机构、加密货币平台和企业SaaS应用程序都报告了使用BitB方法进行的重大凭证盗窃事件。美国FBI互联网犯罪投诉中心指出，2023年复杂网络钓鱼攻击增加了47%，BitB技术被用于商务电子邮件泄露计划，每位受害者的平均损失为3000美元。这种攻击特别危险，因为它可以在任何被破坏的或恶意网站上实施，且虚假窗口在凭证被盗后立即消失，留下的取证证据很少。
常见手法
- • 诈骗者在被破坏的合法网站上嵌入恶意JavaScript代码，或创建与流行服务相关的虚假登录页面，等待用户尝试SSO登录流程。
- • 他们使用HTML和CSS制作Google、Microsoft、Apple或Facebook身份验证弹出窗口的精确副本，包括虚假的地址栏、SSL锁定图标，甚至与真实登录体验相匹配的模拟加载动画。
- • 攻击者使用绝对定位和高z-index值将这些虚假窗口作为叠加层放置在实际网页顶部，使其看起来像真正的浏览器弹出窗口而非嵌入式页面元素。
- • 他们实施复杂的检测脚本，监控用户交互，在用户点击"登录"按钮或尝试访问需要身份验证的高级功能时自动触发虚假登录窗口。
- • 诈骗者通过击键记录和表单提交拦截实时捕获输入的凭证，立即将数据传输到攻击者控制的服务器，同时显示虚假的加载或错误消息。
- • 凭证被盗后，攻击者迅速删除虚假窗口，可能将用户重定向到合法登录页面以完成身份验证（掩盖盗窃行为），或显示通用错误消息，建议用户稍后重试。
如何识别
- 登录弹出窗口无法被拖动到浏览器视口边界之外，或无法独立于主页面内容移动，这表明它是嵌入式HTML元素而非真实浏览器窗口。
- 右键点击弹出窗口的地址栏、窗口边框或最小化/最大化按钮会显示标准网页上下文菜单，而非浏览器特定选项或无菜单。
- 弹出窗口的地址栏中的URL在你尝试高亮或复制时不会改变，点击地址栏不允许文本编辑或URL修改，而真实浏览器窗口是允许的。
- 使用浏览器开发者工具（F12）可以看出弹出窗口作为div或iframe元素存在于页面的DOM结构中，而非单独的浏览器窗口进程。
- 弹出窗口瞬间出现，没有特征性的浏览器窗口动画，或在调整主浏览器窗口大小时仍保持完美居中，表明它与页面的坐标系绑定。
- 检查浏览器的窗口管理器（Windows上的Alt+Tab，Mac上的Command+Tab）显示弹出窗口没有额外的窗口实例，确认它不是合法的独立浏览器窗口。
如何保护自己
- 始终使用具有域名匹配功能的专用密码管理器，该管理器将拒绝在虚假嵌入窗口上自动填充凭证，因为这些工具验证的是实际URL而非显示的图形。
- 在所有支持的账户上启用双因素身份验证（2FA）或多因素身份验证（MFA），最好使用硬件密钥或身份验证器应用程序而非短信代码，这样即使凭证被盗也能限制损害范围。
- 直接在浏览器地址栏中手动输入登录URL，而非在陌生网站上点击"使用...登录"按钮，确保你访问的是真实浏览器窗口中的真正身份验证页面。
- 在任何弹出窗口中输入凭证之前，尝试将窗口拖动到浏览器边界之外，或点击URL栏来验证它是真实浏览器窗口还是HTML叠加层。
- 安装浏览器扩展程序，检测可疑的JavaScript行为或实施内容安全策略验证，在页面尝试创建虚假窗口叠加层时向你发出警报。
- 在可能的情况下，避免在陌生网站上使用SSO登录流程，转而为单个服务创建具有不同密码的账户，减少被盗凭证对单个服务的价值。
真实案例
一位自由平面设计师访问了一个声称提供高级设计资源的作品集网站。当她点击"使用Google登录"来访问下载资源时，出现了一个专业的Google登录窗口。她输入了凭证，但窗口显示了错误消息并消失。两小时内，她的Gmail账户从东欧的IP地址被访问，攻击者试图重置与该邮箱相关联的PayPal和银行账户的密码。
一位IT顾问收到了一封关于Microsoft 365账户安全更新的邮件，其中附有链接以查看最近的登录活动。该链接指向的页面显示了一个令人信服的Microsoft登录弹出窗口，虚假地址栏中显示了正确的microsoft.com URL。输入凭证后，他被重定向到合法的Microsoft页面。三天后，他的公司发现47条客户联系记录已被外泄，勒索要求被发送给那些客户，声称该顾问已被破坏。
一位加密货币投资者点击了热门交易平台的赞助搜索结果。登陆页面看起来与交易所网站完全相同，并通过Google SSO弹出窗口提示登录。输入凭证后，窗口关闭并显示"连接超时"消息。第二天早上，该投资者发现他们的交易所账户已被访问，价值8400美元的比特币已被转移到一个未知钱包。攻击者使用被盗的Google凭证绕过了交易所的基于邮件的验证。