Nie pomoże zielona kłódka: koń trojański tak podmieni stronę, że nie zauważysz

Nawet jeśli zawsze samodzielnie wpisujesz w przeglądarce adres WWW swojego banku i sprawdzasz czy w pasku adresu widać zieloną kłódkę to i tak możesz trafić na serwer przestępców. Najnowszy koń trojański potrafi Cię sprytnie oszukać.

[virusriddle]

bardzo nie fajne wieści:-(

[Shavarus]

@virusriddle: Sposób jest prosty, wystarczy posiłkować się tym obrazkiem, jeśli mamy jakieś wątpliwości.

[aso824]

@Shavarus nie za wiele Ci to da, bo trojan instaluje certyfikat CA - chyba że pamiętasz jaki urząd wydał dany certyfikat. Rozwiązaniem jest certificate pinning - Chrome to posiada. Polega na zapisanym na stale odcisku certyfikatu (fingerprint) w przeglądarce. Tego nie podrobisz, jedyna opcja to złamanie certyfikatu (good luck, 2k bitów)

[kellerman]

Jak ludzie dalej klikaja w linki z email o weryfikacji konta. A bank za kazdym razem ostrzega po zalogowaniu ze nic takiego nigdy nie wysyla.

[GoGoPowerRangers]

@mareksa666: za każdym razem kiedy jakiś debil używa tego hasła nie rozumiejąc o co chodzi, umiera jeden kotek.

[GoGoPowerRangers]

@mareksa666: w sumie racja, brzydkie to to ( ͡° ͜ʖ ͡°)

[piwomir-winoslaw]

Przeczytałbym ten tekst, ale przy adresie pojawiła się zielona kłódka, więc skąd mogę wiedzieć czy to nie serwer na Ukrainie?

[b.....e]

@piwomir-winoslaw: rożowe i tak tego nie stwiedzą ( ͡º ͜ʖ͡º)

[SweetDreams]

@piwomir-winoslaw: #falszywyrozowypasek

[no_one]

Hmm, ok ale jak się ma to w sytuacji, gdy bank ma certyfikat typu EV (extended validation), który charakteryzuje się tym, że nie tylko jest zielona kłódka, ale i cały pasek jest na zielono z napisem - nazwa banku? Takie certyfikaty mają chyba wszystkie polskie banki i tego nie podpisze ani nie wyda jakiekolwiek CA zainstalowane na komputerze ofiary. Wg mnie wystarczy zwracać uwagę na stronach banków czy jest zielony pasek i

[no_one]

@no_one skąd minus? Liczę na jakiś komentarz podparty technicznym wyjaśnieniem, gdzie popełniłem błąd.

[l.....e]

@no_one: myślę, że minusujący po prostu nie zrozumieli Twojej odpowiedzi, bo była napisana tekstem
nieco wyżej ktoś napisał to samo obrazkiem i dostał dużo plusów:
http://www.wykop.pl/link/3224285/nie-pomoze-zielona-klodka-kon-trojanski-tak-podmieni-strone-ze-nie-zauwazysz/#comment-37373169

[b.....e]

na linuxach bedzie ciezko?

[mnlf]

@bcde: tak, ale wyłącznie dlatego że tam bardzo trudno podrzucić trojana.

[ketrish]

W trosce o Państwa dane widniejące w systemie bankowym prosimy o potwierdzenie tożsamości poprzez podanie kodu z narzędzia autoryzacyjnego. Wielokrotna próba logowania bez podania kodu będzie skutkowała blokadą dostępu do bankowości elektronicznej!

to juz powinno w-----c tak czerwona lampke w mozgu potencjalnej ofiary poza orbite naszego ukladu gwiezdnego ;/

robisz przelew, dostajesz smsa, wpisujesz i przeklepujesz dalej, a tak naprawdę pieniądze idą na inne konto ;)

@damian_co_dalej: nawet jak dostaniesz

[Matiatakuje]

A wykop nie ma żadnej kłódki więc nikt nie zhakuje ( ͡° ͜ʖ ͡°)

[newTween]

Dlatego ja używam od wielu lat natywnych aplikacji na nie jailbreak'owany telefon z systemem iOS. Większość aplikacji bankowych używa certificate pining. Jak przeglądarka to tylko z wyłączonym javascript.

[marcoos]

@newTween: a wyłączony js uniemożliwia działanie większości stron banków. Zreszta nie bez powodu większość banków zaczęła wysyłać nagłówki content security policy żeby sie żaden "obcy" js nie przypałętał.

[KrzysiekEire]

@pink_avenger: dopoki bank płaci za pomyłki to nie mam z tym problemow.

[KrzysiekEire]

@maver: miałem na mysli aplikacje

[maver]

@KrzysiekEire: Ok, nie zwróciłem uwagi, że odpowiadasz na inny komentarz.

[monarchista]

czy na osx to grozi?

[monarchista]

@mnlf: o, trzeba dorzucić do pieca negatywnie :D no trzeba. To coś na zasadzie. Aa pewnie sie uda tanio. - no nie powiedziałbym. O jakim sprawdzaniu oprogramowania konkretnie mówisz? Pod jakim kątem to sprawdzanie ma być przeprowadzone i dlaczego twierdzisz, że na os x cięzko o takowe? Na os x ciężko znaleźć programy, które przy instalacji instalują coś dodatkowo np. tak jak na windowsie jakis pasek do przeglądarki, jakiś manager

[mnlf]

Konkretnie przykład aplikacji która drugiego dnia na MacOS wychodzi z Sandboxa

skype

Błagam. Wystarczy włamać się do systemu CI, albo repo źródłowego.

@marcoos: nie wystarczy. Włamanie w jedno miejsce nic nie da. Oprócz tego trzeba by ukraść/złamać 3 różne