Op verzoek van Adobe, hackers Nix 'clickjacking' Talk

Nadat Adobe Systems hen had gevraagd om stil te blijven over hun bevindingen, hebben twee beveiligingsonderzoekers zich teruggetrokken uit een technisch gesprek waarin ze wilden laten zien hoe ze de controle over de browser van een slachtoffer konden overnemen met een online aanval genaamd 'clickjacking'. '

Robert Hansen en Jeremiah Grossman waren klaar om hun toespraak volgende week af te leveren op de OWASP-conferentie (Open Web Application Security Project) in New York. Maar de proof-of-conceptcode die ze hadden ontwikkeld om te laten zien hoe hun clickjacking-aanval werkte, onthulde een fout in een van Adobe's producten. Na een week discussiëren met Adobe, besloten de onderzoekers afgelopen vrijdag om het gesprek aan te gaan.

Hoewel Hansen en Grossman geloven dat de clickjacking-fout uiteindelijk ligt in de manier waarop internetbrowsers zijn ontworpen, overtuigde Adobe hen ervan hun discussie te staken. totdat ze een patch konden vrijgeven. "Adobe denkt dat ze iets kunnen doen om de hack moeilijker te maken," zei Grossman, CTO bij White Hat Security, in een interview.

Bij een clickjacking-aanval misleidt de aanvaller het slachtoffer in het klikken op schadelijke internetlinks zonder het te beseffen. Dit type aanval is al jaren bekend, maar werd niet als bijzonder gevaarlijk beschouwd. Beveiligingsexperts dachten dat het gebruikt zou kunnen worden om clickfraude te plegen of bijvoorbeeld Digg-beoordelingen voor een webpagina op te blazen.

Hansen en Grossman hadden echter met hun proof-of-conceptcode ontdekt dat clickjacking eigenlijk meer was serieus dan ze eerst hadden gedacht.

"Toen we het eindelijk bouwden en het proof of concept kregen, was het nogal smerig," zei Grossman. "Als ik zeg waar je op klikt, hoeveel erg kan ik dan doen? Het blijkt dat je een aantal echt heel slechte dingen kunt doen."
Noch Grossman noch Hansen, CEO van consultancy SecTheory, wilden in details treden van hun aanval. Tom Brennan, de organisator van de OWASP-conferentie, zei echter dat hij de aanvalscode heeft laten zien en dat de aanvaller de volledige controle over de desktop van het slachtoffer kan krijgen.

De onderzoekers zeggen dat ze niet onder druk van Adobe stonden om hun toespraak te laten vallen. "Dit is geen kwaad, de man probeert ons de situatie van hackers in de gaten te houden", schreef Hansen maandag op zijn blog. Eind van de maand heeft Adobe een briefje gepost en de onderzoekers bedankt voor het privé houden van de bug. Het bedrijf werkt aan het oplossen van het probleem. Zelfs als het ontmaskeren van de bug aanvallers zou kunnen helpen, zei de Brennan van OWASP dat de onderzoekers hun toespraak moeten voortzetten om IT-professionals de gelegenheid te geven de werkelijke aard van de bedreiging te begrijpen. "Er is een zero-day probleem in browsers dat miljoenen mensen vandaag treft," zei hij. "Wanneer een persoon het bespreekt, stelt het iedereen op hetzelfde speelveld."

Hansen en Grossman zeggen dat ze ook verwachten dat Microsoft een gerelateerde fout in Internet Explorer zal repareren, en dat veel andere browsers ook worden beïnvloed door het Clickjacking-probleem. "We denken dat het min of meer een probleem met de browserbeveiliging is", zei Grossman.