Le Tabnabbing, une attaque par Phishing évoluée
Le Tabnabbing est une attaque par phishing qui profite de votre utilisation insouciante des onglets pour vous pirater.
C’est une technique qui n’est pas récente (elle date de 2010) mais qui a presque été oubliée. Oubliée seulement de notre côté, mais pas tout à fait du côté des pirates…
Voici donc la définition de cette attaque, et comment s’en protéger efficacement.
Le nom « tabnabbing » a été donné par le chercheur et designer pour Firefox Aza Raskin qui l’a mise au point et expliquée afin d’alerter les internautes.
Qu’est-ce que le « tabnabbing » ?
Un site pirate utilise un bout de code permettant de détecter le changement d’onglet. Lorsque vous le visitez, vous voyez du contenu normal probablement lié à ce que vous cherchiez.
Seulement, au bout de quelques secondes après avoir changé d’onglet, le site pirate change subitement son titre et sa « favicon » (l’icône du site web qui apparaît dans chaque onglet).
Voici une illustration pour bien comprendre :
Le 4ème onglet correspond au site pirate. Lorsqu’on change d’onglet (partie « Après »), il change son titre, sa favicon et son contenu (observez toujours le 4ème onglet).
Lorsque la victime retourne sur l’onglet, elle pense dans l’exemple précédent revenir sur son onglet Gmail qui aurait été auparavant ouvert.
Ce même onglet qui contient une copie frauduleuse de Gmail et qui piratera la victime si elle ne fait pas attention. Si vous êtes comme moi avec 40 onglets ouverts en permanence (que dis-je… 200 !), vous êtes d’autant plus ciblé(e) par cette attaque.
Comment se protéger contre le tabnabbing ?
C’est le type d’attaque plutôt bête mais très rusée qui nous attrape facilement si l’on ne fait pas attention. La prudence est de mise, l’idéal est de bien vérifier l’URL des onglets (à défaut de se souvenir des onglets ouverts).
Notons que cette attaque pourrait prendre des tournures différentes en se faisant passer pour d’autres sites qu’on a l’habitude d’utiliser.
Bien entendu les meilleures défenses contre les attaques par Phishing sont la vigilance et la sensibilisation. Si on ne sait pas que ça existe ou ne fait pas attention, et on est toujours perdant.
18 Commentaires
Cliquez ici pour ajouter un commentaire
Comme d’habitude tres bon article !!!
Merci beaucoup !
PS: Pouriez-vous svp faire un article sur l’uilisation de metasploit ?
Avec plaisir Teo ! J’avais un article sur Metasploit en cours mais il ne verra peut-être pas le jour avant quelques semaines. A bientôt
bonsoir Nathalie merci j’ai bien reçue votre e-mail bien n’au contraire je ne suis pas la afin de faire le mal je suis victime de piratage par mon opérateur qui est orange alors , je ne suis pas la seule j’ai pu le voir merci j’ai peur sur internet voila
Merci pour cet article, je n’en avais jamais entendu parler!
De rien Adaven
bonjour, je suis nouvelle , sur se blog merci de votre accueil.
Bonjour et bienvenue 🙂
tres bon article comme d’habitude, je suis de ceux la qui attendent avec impatience un support sur metasploit ; je te souhaite de tout coeur la bienvenue Lilia . Merci bien un fois de plus Michel
Merci Erman 🙂
Merci Michel, ce soir j’ai appris un nouveau truc !
Bonjour Michel,
Je vois que vous êtes un connaisseur en informatique, je souhaiterais vous demander quelques petits conseils.
Merci de me repondre.
Cordialement.
Bonjour Julie, « connaisseur » reste relatif dans ce domaine 😉 Ma page de contact est disponible en haut à gauche de la page. À bientôt
bonjour Michel j’espère que tu te porte a merveille ? j’ai eu un grand souci depuis le mois dernier juste après mon voyage quant je suis rentré chez moi , en effet il s’agit de ma boite e-mail Yahoo qui a été piraté et dont je n’est plus de faire quoi que ce soit , bouleverser en ne sachant guerre comment récupéré mes info personnelle j’ai été prise de panique dans tout les sens en cherchant une solution pour récupéré ce qui me revient de droit . je suis un de tes fane qui suite tes conseille et tes cours régulièrement quant les occasion se présente mais néanmoins les cas je n’est sus me servir des tes cours en trouvant une solution a mon problème .c’est ainsi que je te sollicite de laide si tu peut me venir en aide pour résoudre cette solution et je suis prêt a faire ce que tu veut . a moins que cela soit au dela de tes compétence je vais néanmoins toujours te comprendre et chercher envers un autre connaisseur informatique ,
Bonjour, c’est une situation que je ne souhaite à personne, malheureusement quand le mal est fait il est difficile à réparer. Voici des pistes (partie Yahoo) : https://www.leblogduhacker.fr/reference-mon-compte-a-ete-pirate-que-faire/ Bonne chance
Bonsoir Michel , je veux apprendre a devenir un hacker mais je ne sais pas par quoi commencé tu peut me donner un conseil ?
Salut djelo, je te propose de commencer par ici : https://www.leblogduhacker.fr/commencez-ici/
salut michel pour le phishing voila un petit truc sympas à savoir pour protéger son noms de domaine.contre le phishing. techniques basées sur l’osint open source intelligence ou renseignement par source ouverte. dans un premier temps il est important de s’intéresser aux noms de domaine possédés par votre entreprise. une technique couramment utilisée par les attaquants est d’acheter. un noms de domaine ressemblant fortement au votre. afin de tromper les utilisateurs. en cela plusieurs techniques visant à tromper l’oeil et le cerveau humain sont utilisées. en voici quelques exemples basé sur le nom de domaine redbull.com tiret : changer le point par un tiret sur un sous domaine. nouveau tld utiliser le domaine avec un tld non enregistré. homoglyphe remplacer les lettres par des lettres qui se ressemblent ou une lettre proche sur le clavier. transposition. inverse la position de deux lettres dans le nom de domaine. insertion insérer une lettre dans le nom de domaine. afin de détecter au plus tot l’utilisation de ces techniques par un attaquant différents outils peuvent etre utilisés. pour générer une liste de noms de domaine sur lesquels ces types de modifications sont appliquées. puis de vérifier si ces noms de domaine sont enregistrés. le premier outils est dnstwists. téléchargeable sur github: https: //gisthub.com /elceef/dnstwist.git cd dnstwist pip install kali linux apt install dnstwist celui -ci va générer une liste de noms de domaine à partir d’une entrée fournie en utilisant les méthodes citées. précédemment pour chaque nom de domaine il vérifiera son enregistrement auprès d’un serveur dns mondial. ce qui vous permettra de détecter des cas suspects rapidement.
salut michel super article très intéressant comme toujours. donc ici un ou deux petit conseil pour les gens .
qui souhaite protéger leurs sites aussi bien que leurs blogs.
lors de la création et de la maintenance de sites web. nous devons toujours prendre en considération la sécurité des
sites dont nous avons la charge. les blogs ont particulièrement besoin d’un niveau de soin supplémentaire
contre tenu du nombre de liens sortants qu’ils ont généralement. prendre soin des liens sortants .
implique différentes tâches. afin de toujours s’assurer qu’ils sont optimisés l’un des outils qui aident
à superviser la sécurité de vos liens sortants est l’attribut html rel = noopener
c’est simple mais cela peut faire des merveilles pour la sécurité d’un site.
nous allons voir ce qu’est exactement un lien noopener et comment utiliser l’attribut rel = noopener avec
wordpress ou un autre cms tel que drupal joomla prestashop magento boostrap etc.
reverse tabnabbing
l’attribut rel = noopener protège les sites contre les intentions malveillantes.
en particulier l’attaque de phishing. appelée tabnabbing inverse.
la tabulation inversée est lorsqu’un site malveillant utilise window . opener . location assign ()
pour remplacer une vraie page par une fausse.
cela fonctionne comme ceci. la page où les liens sont ajoutés. appelée la page parent même aux pages
enfants à travers lesdits liens. la page enfant malveillante se joint ensuite à la page parent avec window .
opener. location. assign ()
et imite le site d’origine avec un faux.
si le site mimé a un widget de connexion et que l’utilisateur entre ses informations toutes ces informations
sont volées par la page enfant malveillante.
l’attribut rel = noopener protège la page parente contre les attaques malveillantes par tabulation inversée sur
les pages enfants. noreferrer ?
l’attribut rel = noopener fonctionne sur la plupart des navigateurs .
à l’exception des plus anciens.
lorsque wordpress ajoute l’attribut rel = noopener à vos liens par défaut vous devez ensuite ajouter.
l’attribut rel = noreferrer à côté.
si vous avez mis à jour vers la dernière version de wordpress les deux attribut sont ajoutés automatiquement
à vos liens.
l’attribut rel = noreferrer indiquera au navigateur de ne pas collecter d’informations de référence
depuis la page principale envoyant les liens.
voici à quoi devraient ressembler vos liens.
example anchor text
comment un lien noopener est il lié aux liens dofollow et nofollow ?
c’est une idée fausse que les liens avec l’attribut rel = noopener sont liés aux liens dofollow et nofollow
alors qu’en fait ils ne le sont pas. la différence est que les liens noopener et noreferrer sont destinés
à des fins de sécurité. tandis que les liens dofollow et nofollow concernent davantage le classement des pages
et le référencement.. par exemple un lien avec attribut rel = noopener peut être soit dofollow soit nofollow
ce choix vous appartient.
dans certains cas vous souhaiterez peut-être annuler la fonction par défaut consistant à ajouter les attribut
rel = noopener et rel = noreferral je vous conseil cependant pas de le faire. il peut ouvrir votre site pour
des risques de sécurité.