Browser-in-Browser-Angriff: Die unsichtbare Phishing-Bedrohung

Häufige Methoden

• • Betrüger betten böswilligen JavaScript-Code auf kompromittierten legitimen Websites ein oder erstellen gefälschte Landing Pages, die mit beliebten Diensten verknüpft erscheinen, und warten darauf, dass Benutzer SSO-Login-Abläufe starten.
• • Sie erstellen pixelgenaue Nachbildungen von Authentifizierungs-Popup-Fenstern von Google, Microsoft, Apple oder Facebook mithilfe von HTML und CSS, einschließlich gefälschter Adressleisten, SSL-Schlosssymbole und sogar simulierter Ladeanimationen, die dem echten Login-Erlebnis entsprechen.
• • Angreifer positionieren diese gefälschten Fenster als Überlagerungen über der eigentlichen Webseite mittels absoluter Positionierung und hohen z-index-Werten, um sie als echte Browser-Popups und nicht als eingebettete Seitenelemente zu präsentieren.
• • Sie implementieren ausgefeilte Erkennungsskripte, die die Benutzerinteraktion überwachen und automatisch das gefälschte Login-Fenster auslösen, wenn Benutzer auf "Anmelden"-Schaltflächen klicken oder auf Features zugreifen, die Authentifizierung erfordern.
• • Betrüger erfassen eingegebene Anmeldedaten in Echtzeit durch Tastenanschläge-Protokollierung und Formulareingabe-Abfangung und übertragen die Daten sofort an von Angreifern kontrollierte Server, während sie gefälschte Lade- oder Fehlermeldungen anzeigen.
• • Nach dem Credential-Diebstahl entfernen Angreifer das gefälschte Fenster schnell und leiten Benutzer entweder zur legitimen Login-Seite um, um die Authentifizierung abzuschließen (wodurch der Diebstahl verborgen wird), oder zeigen generische Fehlermeldungen an, die Benutzer auffordern, es später erneut zu versuchen.

So erkennen Sie es

• Das Login-Popup-Fenster kann nicht außerhalb der Browser-Grenzen gezogen oder unabhängig vom Hauptseiteninhalt verschoben werden, was zeigt, dass es sich um ein eingebettetes HTML-Element und nicht um ein echtes Browser-Fenster handelt.
• Das Rechtsklick-Menü auf der Adressleiste, dem Fensterrahmen oder den Minimieren-/Maximieren-Schaltflächen des Popups zeigt das Standard-Webseiten-Kontextmenü statt Browser-spezifischer Optionen oder gar kein Menü.
• Die URL in der Adressleiste des Popups ändert sich nicht, wenn Sie versuchen, sie zu markieren oder zu kopieren, und das Klicken auf die Adressleiste erlaubt keine Textbearbeitung oder URL-Änderung, wie echte Browser-Fenster erlauben würden.
• Die Verwendung von Browser-Entwicklungstools (F12) zeigt, dass das Popup-Fenster als div- oder iframe-Element in der DOM-Struktur der Seite existiert und nicht als separater Browser-Fenster-Prozess.
• Das Popup erscheint augenblicklich ohne die typische Browser-Fenster-Animation oder bleibt perfekt zentriert, auch wenn Sie die Größe des Hauptfensters ändern, was darauf hindeutet, dass es an das Koordinatensystem der Seite gebunden ist.
• Die Überprüfung des Browser-Fenster-Managers (Alt+Tab unter Windows, Command+Tab auf Mac) zeigt keine zusätzliche Fenster-Instanz für das Popup, was bestätigt, dass es sich nicht um ein echtes separates Browser-Fenster handelt.

So schützen Sie sich

• Verwenden Sie immer einen dedizierten Password Manager mit Domain-Matching-Funktionen, die sich weigert, Anmeldedaten in gefälschten eingebetteten Fenstern automatisch auszufüllen, da diese Tools die tatsächliche URL und nicht nur Grafiken überprüfen.
• Aktivieren Sie Zwei-Faktor-Authentifizierung (2FA) oder Multi-Faktor-Authentifizierung (MFA) auf allen Konten, die dies unterstützen, vorzugsweise mit Hardware-Keys oder Authentifizierungs-Apps statt SMS-Codes, was den Schaden begrenzt, falls Anmeldedaten gestohlen werden.
• Geben Sie Login-URLs manuell direkt in die Browser-Adressleiste ein, statt auf "Mit [Service] anmelden"-Schaltflächen auf unbekannten Websites zu klicken, um sicherzustellen, dass Sie die authentische Authentifizierungsseite in einem echten Browser-Fenster besuchen.
• Versuchen Sie vor der Eingabe von Anmeldedaten in einem Popup-Fenster, das Fenster außerhalb der Browser-Grenzen zu ziehen oder auf die URL-Leiste zu klicken, um zu überprüfen, dass es sich um ein echtes Browser-Fenster und nicht um eine HTML-Überlagerung handelt.
• Installieren Sie Browser-Erweiterungen, die verdächtiges JavaScript-Verhalten erkennen oder Content-Security-Policy-Validierung implementieren, um Sie zu warnen, wenn Seiten versuchen, gefälschte Fenster-Überlagerungen zu erstellen.
• Vermeiden Sie nach Möglichkeit die Verwendung von SSO-Login-Abläufen auf unbekannten Websites und erstellen Sie stattdessen einzigartige Konten mit unterschiedlichen Passwörtern, um den Wert gestohlener Anmeldedaten auf einen einzelnen Dienst zu reduzieren.

Reale Beispiele

Wo melden — Deutschland

Offizielle Stellen in Ihrer Region zum Melden dieses Betrugs.