GoPlus: Cách ngăn chặn sự cố chiếm quyền điều khiển trình cắm của trình duyệt

Nguồn gốc: GoPlus

Gần đây, người dùng Twitter đã cài đặt plugin Aggr trên trình duyệt Chrome của họ khiến cookie trình duyệt của họ bị chiếm quyền điều khiển, dẫn đến tài sản bị mất thiệt hại vượt quá 1 triệu USD

Plug-in trình duyệt (tiện ích mở rộng) Bản chất của nó là người dùng ủy quyền cho plug-in xử lý một phần thông tin trang web thay mặt nó, nhưng thực tế nó không chỉ có thể truy cập và sửa đổi thông tin trang web gốc mà còn có thể lấy được định vị, đọc/sửa đổi bảng nhớ tạm, đọc Cookie/lịch sử, Ảnh chụp màn hình, ghi nhật ký bàn phím, v.v. Nói cách khác, những plugin này không chỉ có thể lấy thông tin như cookie mà còn trực tiếp xác định loại trang web mà chúng ta xem.

Các cuộc tấn công dựa trên web xảy ra trong trình duyệt về cơ bản không thể được xác định bởi cơ chế bảo mật hệ thống và trình duyệt không thể xác định liệu có cho phép truy cập vào các plug-in hay không Do đó, về mặt lý thuyết, các cuộc tấn công plug-in của trình duyệt khó xác định hơn các cuộc tấn công phần mềm máy khách.

Nhóm bảo mật GoPlus khuyến nghị người dùng nâng cao nhận thức về bảo mật và tham khảo các phương pháp sau để sử dụng plug-in trình duyệt một cách an toàn:

1. Không sử dụng các plug-in (tiện ích mở rộng) từ các nguồn không xác định và chỉ tải xuống các plug-in từ thị trường chính thức.

2. Ngay cả các plug-in chính thức cũng có thể bị tin tặc giả mạo, chẳng hạn như thay thế trực tiếp gói cài đặt hoặc tấn công chuỗi cung ứng, v.v. Hãy đảm bảo Chú ý đến việc kiểm soát quyền truy cập, không cấp các quyền không cần thiết, không đọc/thay đổi dữ liệu trang web trên tất cả các trang web theo mặc định và đặt quyền của trình cắm thành [Khi bạn nhấp vào tiện ích mở rộng này] hoặc [Trên các trang web cụ thể ] để ngăn chặn một cách hiệu quả các tiện ích mở rộng độc hại. Để lấy Cookie, các bước như sau:

3. Tách biệt trình duyệt plugin và trình duyệt quỹ giao dịch.

4. Cố gắng không sử dụng trang web để đăng nhập vào sàn giao dịch, sử dụng chế độ duyệt web riêng tư cho các hoạt động nhạy cảm và đăng nhập ngay lập tức khi không sử dụng trang web giao dịch và thường xuyên xóa bộ nhớ đệm, cookie và các thông tin khác của trình duyệt.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia