Nieuwe phishingaanval gebruikt truc met data-URL

[testcees]

Opgepast, hier is Ubuntu ook kwetsbaar voor. Getest met Ubuntu 14.04 LTS en Firefox 30.0.

Het ingebouwde phishing-filter van Firefox (Voorkeuren → Beveiliging → Gerapporteerde sites blokkeren) blokkeert deze sites niet. In de adresbalk zie je in plaats van een internetadres iets met data:text/html;charset=utf-8;base64,heelveelcijfersenletters.
Verder zal zo'n site er (waarschijnlijk) goed uitzien en niet van echt te onderscheiden zijn maar is uitsluitend bedoelt om gegevens zoals inlogcodes te stelen.

[Vistaus]

Ik zie dat de bugmelding op Mozilla's bugtracker is gedaan. Betekent dit dat Firefox de enige kwetsbare browser is of zou dit ook in andere browsers gereproduceerd kunnen worden?

Edit: in Odyssey 1.23 op AmigaOS4 krijg ik alleen errors dat de tinyurl (ik volgde testlinks onder het bugrapport) de opgegeven sites niet kan vinden. Evilsite, zoals in het bugrapport vermeld, leidt me gewoon naar evilsite.com (zoals zichtbaar in de adresbalk). Zal het dalijk testen met Chrome op Linux.

Edit2: in Chrome op Linux zie ik bij Evilsite gewoon de URL in de adresbalk, maar die tinyurl-links geven inderdaad een vreemd internetadres. Blijkbaar zit de bug dus ook in Chrome, maar dus niet in alle browsers.

[foxofinfinety]

Google Chome / Chromium - niet vatbaar, ERR_UNSAFE_REDIRECT
Internet Explorer (niet relevant voor linux, maar voor compleetheid) - niet vatbaar, herkent geen data: protocol.

andere browsers heb ik nu even niet beschikbaar.

[Vistaus]

Google Chome / Chromium - niet vatbaar, ERR_UNSAFE_REDIRECT

Waarom is mijn Chrome dan wel vatbaar bij die tinyurl-links bij het bugrapport?

[Joris Donders]

Bedankt voor het melden van deze 'bug' in FF ; met Ubuntu moet je dus ook voorzichtig zijn, wat ik al lang vermoedde.

[Pjotr]

De fout is dus, dat je de aanval niet kunt *melden* of *toevoegen aan het filter*. Zoiets doe je alleen, als je de aanval al als zodanig hebt herkend....

[PKing]

De fout is volgens mij dat iemand op een link in zijn e-mail klikt terwijl hij hem niet kent?