Опубликованы сведения о методе фишинга, позволяющем создать у пользователя иллюзию работы с легитимной формой аутентификации через воссоздание интерфейса браузера в области, выводимой поверх текущего окна при помощи iframe. Если ранее злоумышленники пытались обмануть пользователя регистрируя похожие по написанию домены или манипулируя параметрами в URL, то при помощи предложенного метода средствами HTML и CSS в верхней части всплывающего окна отрисовываются элементы, повторяющие интерфейс браузера, и в том числе заголовок с кнопками управления окном и адресная строка, включающая адрес, не совпадающий с фактическим адресом содержимого.

С учётом того, что на многих сайтах используются формы аутентификации через сторонние сервисы, поддерживающие протокол OAuth, и эти формы показываются в отдельном окне, генерация фиктивного интерфейса браузера может ввести в заблуждение даже опытного и внимательного пользователя. Предложенный метод, например, может применяться на взломанных или не заслуживающих сайтах для сбора данных о паролях пользователей.

Исследователь, обративший внимание на проблему, опубликовал готовый набор макетов, симулирующих интерфейс Chrome в тёмных и светлых темах оформления для macOS и Windows. Всплывающее окно формируется при помощи iframe, выводимого поверх контента. Для придания реалистичности при помощи JavaScript привязываются обработчики, позволяющие перемещать фиктивное окно и нажимать на кнопки управления окном.

Источник: http://www.opennet.ru/opennews/art.shtml?num=56889