CLICKJACKING, Metode Baru Serangan Terhadap Pengguna Facebook

Pernahkah Teman Anda, tiba-tiba memanggil anda melalui Chat Facebook seperti gambar dibawah ini ?

​

Lalu Anda dengan senang hati meng-klik URL yang diberikan teman anda tersebut, SARAN saya, segera lakukan penggantian Password Facebook anda untuk berjaga-jaga.

Dari pengamatan di halaman Facebook saya paling tidak ada dua orang teman yang terus-menerus update status dengan kata-kata di atas. Sebagai pengguna Facebook semestinyalah waspada karena sebagian besar virus/spam yang menyerang akun FB disebarkan melalui link. Link-link yang tidak jelas tersebut walaupun di-share oleh teman merupakan spam yang bisa merusak akun FB pengguna.

Walaupun yang men-share link itu teman, jangan mudah percaya karena bisa saja teman yang men-share link tersebut sudah terkena sebelumnya. Biasanya kalau sudah mengklik link berupa spam dengan otomatis pengguna yang mengklik link itu akan men-share link yang sama kepada semua teman yang ada dalam daftarnya sehingga bila semua teman tersebut juga mengklik akan makin banyaklah spam yang menyebar.

Sampai saat ini, belum jelas benar link yang diklik itu apakah video atau hanya halaman kosong. Menurut mashable.com link yang di-share tersebut adalah semacam spam yang nantinya akan memposting dirinya sendiri di status pengguna Facebook yang telah mengklik link itu sebelumnya. Sebagai spam tentu saja tanpa ada perintah apa pun akan memenuhi halaman Facebook pengguna, apalagi jika teman yang lain juga mengklik link yang di-share tersebut.

Seperti saya uraikan sebelumnya, di dalam daftar teman saya di FB paling tidak sudah ada dua orang yang terus-menerus mengupdate statusnya dengan kata-kata di atas dan persis sama yang intinya menyuruh teman untuk ikut mengklik link itu juga.

Nah para pengguna setia Facebook walaupun Facebook sendiri telah berusaha mengurangi spam sampai ke angka 95%, namun spam tetap saja akan ada kalau parang pengguna Facebook tidak hati-hati dan concern dengan keamanan akun mereka. Sekali lagi memakai aplikasi memang bagus terutama untuk mencari tahu siap saja yang melihat profile anda, siapa saja yang menjadi teman terbaik anda, dan statistik halaman Facebook anda. Namun pemakaian aplikasi juga berbahaya dan bisa merusak akun FB anda dengan munculnya banyak spam. Selain itu, anda harus sangat berhati-hati dengan pengaturan privacy anda agar spam dan virus tidak mudah memasuki akun anda.

SUMBER

Spoiler: Apa Itu Clickjacking?

Clickjacking adalah sebuah teknik yang mengekploitasi browser web.Teknik clickjacking memberi kemudahan bagi attacker untuk mengelabui user agar user sedikit saja meng-click sesuatu. Untuk itu, jika user meng-click di halaman web, maka mereka sebenarnya meng-click content dari halaman lain.

Clickjacking sendiri telah menginfeksi Apple Safari, Google Chrome, Microsoft Internet Explorer, Mozilla Firefox, dan Opera. Rsnake Hansen, founder dan CEO dari SecTheory, mengungkapkan penyerangan browser ini sangatlah mudah. Pada dasarnya, user hanya menggunakan mouse untuk meng-click link, ke halaman yang tidak dikehendaki.

Untuk pengguna Firefox, ada ekstensi Firefox NoScript yang dapat melakukannya. Namun, ada juga untuk memblokir plug-in dengan FlashBlock, Adblock Plus, dan CustomizeGoogle.

SUMBER

Spoiler: Berita Serupa

Clickjacking dimungkinkan karena fitur yang tampaknya tidak berbahaya dari HTML halaman Web dapat digunakan untuk melakukan tindakan yang tak terduga. Sebuah trik Halaman clickjacked pengguna dalam melakukan tindakan yang tidak diinginkan dengan mengklik pada link tersembunyi. Pada halaman clickjacked, para penyerang menunjukkan satu set tombol dummy, lalu buka halaman lain di dalam lapisan transparan.

Para pengguna berpikir bahwa mereka adalah mengklik tombol terlihat, sedangkan mereka benar-benar melakukan tindakan pada halaman tersembunyi. Halaman yang tersembunyi mungkin menjadi halaman otentik, dan oleh karena itu penyerang bisa mengelabui pengguna agar melakukan tindakan yang pengguna tidak pernah dimaksudkan untuk dilakukan dan tidak ada cara untuk melacak tindakan seperti kemudian, ketika pengguna benar-benar dikonfirmasi pada halaman lain.

User menerima email dengan link ke sebuah video tentang sebuah berita, tapi halaman lain yang valid, misalnya sebuah halaman produk di amazon.com, dapat "tersembunyi" di atas atau di bawah tombol "PLAY" dari video berita. pengguna mencoba untuk "bermain" video namun sebenarnya "membeli" produk dari Amazon. Eksploitasi dikenal lainnya telah menipu pengguna untuk mengaktifkan webcam dan mikrofon melalui Flash (yang sejak itu telah diperbaiki oleh Adobe) menipu pengguna untuk membuat informasi profil sosial mereka jaringan publik membuat pengguna mengikuti seseorang di Twitter dan berbagi link di Facebook.

Mozilla Firefox tidak memiliki perlindungan terhadap clickjacking. Perlindungan terhadap clickjacking dapat ditambahkan dengan menginstal add-on NoScript. Perusahaan ClearClick, dirilis pada tanggal 8 Oktober 2008, mencegah pengguna dari mengklik tak terlihat atau "redressed" elemen halaman dokumen tertanam atau applet, mengalahkan semua jenis clickjacking (yaitu frame-based dan plugin-based).

Pemilik situs Web dapat melindungi pengguna mereka terhadap UI redressing (frame clickjacking based) pada sisi server dengan memasukkan potongan framekiller JavaScript di halaman-halaman mereka tidak ingin dimasukkan dalam frame dari sumber yang berbeda. Perlindungan berbasis JavaScript tersebut, sayangnya, tidak selalu dapat diandalkan. Hal ini benar terutama pada Internet Explorer, di mana penanggulangan semacam ini dapat dielakkan "dengan desain" oleh termasuk halaman yang ditargetkan di dalam sebuah elemen SECURITY=restricted> <IFRAME.

Tanggal 26 Januari 2009 Microsoft merilis RC1 Internet Explorer 8, yang mencakup pilihan parsial baru clickjacking pencegahan. Pengembang situs Web akan dapat menambahkan tag di header halaman untuk membantu mendeteksi dan mencegah UI bingkai berbasis redressing. IE 8, menurut Microsoft, "akan mendeteksi situs yang menyisipkan tag dan memberikan pengguna layar kesalahan baru menunjukkan bahwa host konten memilih untuk tidak mengizinkan konten mereka untuk dibingkai, sementara memberikan pengguna pilihan untuk membuka isi baru jendela.

"Menurut pengembang NoScript's, Giorgio maone, fitur ini dapat dianggap sebagai kerja sekitar untuk kehancuran framekiller di IE dan," jika seorang pemilik situs Web adalah terampil dan hati-hati cukup untuk melaksanakan "penanggulangan ini," ia pasti akan menyebarkan sederhana dan dipahami JavaScript penghilang frame satu-liner juga, dan setiap browser sama dilindungi ".

Menyarankan solusi Microsoft, yang sejak juga telah dilaksanakan di Apple Safari dan Google Chrome Web browser, adalah untuk memeriksa header HTTP baru, X-FRAME-PILIHAN. Header ini dapat memiliki dua nilai, MENYANGKAL dan SAMEORIGIN, yang akan memblokir setiap framing atau pembingkaian oleh situs eksternal, masing-masing.

Kedua framekillers dan pendekatan mitigasi IE8, bagaimanapun, membutuhkan Web developer untuk melindungi halaman rentan dengan memodifikasi konten mereka atau cara mereka dilayani, meskipun, bahkan di "dilindungi" halaman, mereka tidak dapat mencegah varian clickjacking plugin berbasis karena mereka tidak perlu frame. The NoScript add-on untuk Firefox tetap menjadi produk gratis hanya memberikan perlindungan otomatis sisi klien, dengan tidak perlu kesadaran dan kerjasama dari para penulis situs Web GuardedID (produk komersial.) Memberikan perlindungan sisi klien clickjack untuk pengguna IE atau Firefox tanpa mengganggu pengoperasian Iframe sah.

Gazelle adalah Microsoft Research proyek web browser aman berdasarkan IE, yang menggunakan model keamanan OS-suka, dan memiliki pertahanan sendiri yang unik terhadap clickjacking. Dalam Gazelle, jendela asal yang berbeda hanya bisa menarik konten dinamis di ruang layar jendela lain jika konten itu menarik adalah buram.

SUMBER

Spoiler: Berita Serupa

Satu lagi tombol "Like" di Facebook berisikan clickjacking. Disainnya sangat sederhana, hanya menampilkan kata 101 hottest women.
Pesan akan tampil pada link seperti :|:| 101 Hottest Women in the World :|:|.

​

Informasi dari Sophos mengatakan link 101 hottest women akan terhubung ke sebuah gambar Jessica Alba. Lalu ada kelanjutannya dengan - Click here to continue. Trojan tersebut dinamakan Troj/Iframe-ET

Bila sudah di click maka pada halaman facebook akan berubah menjadi Liking dan menjebak teman lain untuk mengclick. Facebook sudah memperingatkan atas keberadaan pesan tersebut.

SUMBER

Berita Serupa

Code:

Facebook Sempat Diusili Clickjacking

Facebook Jadi Target ClickJacking 

Waspadalah.. Waspadalah

UPDATE - Addons Firefox Anti CLICKJACKING (katanya sih)

 

Hai, IDWS Mania! Mohon bantuannya supaya IDWS berkembang dengan ikuti sosial media kami di:
Discord Forum IDWS - Facebook IDWS - Instagram IDWS - Twitter IDWS