اختطاف النقرات

يشير مصطلح "النقر الخاطف الكلاسيكي" إلى حالة يستخدم فيها المهاجم طبقات مخفية على صفحات الويب للتلاعب بإجراءات مؤشر المستخدم، مما يؤدي إلى تضليل المستخدم بشأن ما يتم النقر عليه بالفعل. ^{[ 18 ]}

قد يتلقى المستخدم بريدًا إلكترونيًا يحتوي على رابط لفيديو إخباري، ولكن قد تكون هناك صفحة ويب أخرى، كصفحة منتج على أمازون مثلاً ، مخفية أعلى أو أسفل زر "تشغيل" الفيديو. يحاول المستخدم تشغيل الفيديو، لكنه في الواقع يشتري المنتج من أمازون. لا يستطيع المخترق سوى إرسال نقرة واحدة، لذا يعتمد على حقيقة أن المستخدم مسجل دخوله إلى أمازون ولديه خاصية الشراء بنقرة واحدة مُفعّلة.

رغم أن التنفيذ التقني لهذه الهجمات قد يكون صعباً بسبب عدم توافق المتصفحات، إلا أن عدداً من الأدوات مثل BeEF و Metasploit Project توفر استغلالاً شبه آلي كامل للعملاء على المواقع الإلكترونية المعرضة للثغرات. وقد تُسهّل هجمات الويب الأخرى، مثل هجمات XSS ، عملية اختطاف النقرات، أو قد تُسهّلها . ^{[ 19 ] [ 20 ]}

يُعدّ "اختطاف الإعجاب " أسلوبًا خبيثًا لخداع مستخدمي المواقع الإلكترونية لحملهم على الإعجاب بصفحة على فيسبوك أو منشورات/حسابات أخرى على مواقع التواصل الاجتماعي دون قصد منهم. ^{[ 21 ]} وقد ورد مصطلح "اختطاف الإعجاب" في تعليق نشره كوري بالو في مقال "كيفية الإعجاب بأي شيء على الإنترنت (بأمان)" ، ^{[ 22 ]} وهو من أوائل المنشورات الموثقة التي تشرح إمكانية وجود نشاط خبيث يتعلق بزر "الإعجاب" على فيسبوك. ^{[ 23 ]}

بحسب مقال نُشر في مجلة IEEE Spectrum ، طُوّر حلٌّ لمشكلة انتحال الإعجاب في إحدى فعاليات الهاكاثون التي نظمتها فيسبوك . ^{[ 24 ]} يتوفر مُلحق "إعجاب" للمتصفح يمنع إمكانية انتحال الإعجاب الموجودة في زر الإعجاب على فيسبوك . ^{[ 25 ]}

تعتمد تقنية النقر المتداخل، مقارنةً بتقنية النقر التقليدية، على تضمين إطار ويب خبيث بين إطارين من صفحة الويب الأصلية غير الضارة : أحدهما من الصفحة المُؤطَّرة والآخر معروض في النافذة العلوية. ويعود ذلك إلى ثغرة أمنية في ترويسة HTTP ، حيث يقوم متصفح الويبX-Frame-Options ، عند وجود قيمة معينة لهذا العنصر SAMEORIGIN، بفحص الطبقتين المذكورتين فقط. ونظرًا لإمكانية إضافة إطارات أخرى بين هاتين الطبقتين دون أن يتم اكتشافها، يُمكن للمهاجمين استغلال هذه الثغرة لصالحهم.

في الماضي، مع جوجل بلس والإصدار المعيب من محرك بحث الصور X-Frame-Options، تمكن المهاجمون من إدراج إطارات من اختيارهم مستغلين الثغرة الأمنية الموجودة في محرك بحث الصور من جوجل . وبين إطارات عرض الصور، الموجودة أيضًا في جوجل بلس، كانت هذه الإطارات التي يتحكم بها المهاجمون تُحمّل دون قيود، مما يسمح لهم بتضليل أي شخص يزور صفحة عرض الصور. ^{[ 13 ]}

تقنية اختطاف المؤشر هي أسلوب لتغيير موضع المؤشر من الموقع الذي يراه المستخدم، وقد اكتشفها إيدي بوردي، الباحث في موقع bleeding.fr، عام 2010. ^{[ 26 ]} وقد أثبت ماركوس نيميتز ذلك باستخدام أيقونة مؤشر مخصصة، وفي عام 2012، فعل ماريو هايدريش ذلك عن طريق إخفاء المؤشر. ^{[ 27 ]}

اكتشف جوردي شانسيل، الباحث في موقع Alternativ-Testing.fr، ثغرة أمنية في متصفح موزيلا فايرفوكس على أنظمة ماك أو إس إكس (تم إصلاحها في فايرفوكس 30.0) والتي يمكن أن تؤدي إلى تنفيذ تعليمات برمجية عشوائية والتجسس على كاميرا الويب. ^{[ 28 ]}

اكتشف جوردي تشانسيل ثغرة أمنية ثانية من نوع CursorJacking في متصفح موزيلا فايرفوكس على أنظمة ماك أو إس إكس (تم إصلاحها في فايرفوكس 37.0)، وتعتمد هذه الثغرة مجدداً على أكواد فلاش و HTML وجافا سكريبت ، مما قد يؤدي إلى التجسس عبر كاميرا الويب وتشغيل إضافة خبيثة، وبالتالي السماح بتشغيل برامج ضارة على جهاز المستخدم المصاب. ^{[ 29 ]}

يختلف MouseJack عن تقنيات اختطاف النقرات الأخرى التي تستهدف واجهة المستخدم، فهو ثغرة أمنية في واجهة المستخدم تعتمد على الأجهزة اللاسلكية، وقد أبلغ عنها مارك نيولين من موقع Bastille.net لأول مرة عام 2016، وتسمح بإدخال بيانات لوحة المفاتيح الخارجية إلى أجهزة الاستقبال اللاسلكية المعرضة للخطر. ^{[ 30 ]} وقد وفرت شركة لوجيتك تحديثات برمجية، لكن الشركات المصنعة الأخرى لم تستجب لهذه الثغرة. ^{[ 31 ]}

في عملية اختطاف النقر بدون متصفح، يستغل المهاجمون الثغرات الأمنية في البرامج لتكرار عملية اختطاف النقر الكلاسيكية فيها، دون الحاجة إلى استخدام متصفح ويب.

تنتشر هذه الطريقة من هجمات النقر الخادع بشكل رئيسي على الأجهزة المحمولة، وخاصةً أجهزة أندرويد ، وذلك بسبب آلية عمل إشعارات التنبيه . فنظرًا لوجود تأخير بسيط بين لحظة طلب الإشعار ولحظة ظهوره على الشاشة، يستطيع المهاجمون استغلال هذا التأخير لإنشاء زر وهمي مخفي أسفل الإشعار، ويمكن النقر عليه. ^{[ 7 ]}

يُعدّ اختراق ملفات تعريف الارتباط (CookieJacking) أحد أشكال اختراق النقرات (Clickjacking)، حيث تُسرق ملفات تعريف الارتباط من متصفحات الويب الخاصة بالضحية . ويتم ذلك عن طريق خداع المستخدم لسحب عنصر يبدو ظاهريًا غير ضار، ولكنه في الواقع يُجبر المستخدم على تحديد محتوى ملف تعريف الارتباط المستهدف بالكامل. ومن ثم، يستطيع المهاجم الحصول على ملف تعريف الارتباط وجميع البيانات التي يحتويها. ^{[ 15 ]}

في عملية اختطاف الملفات، يستغل المهاجمون قدرة متصفح الويب على التنقل داخل الحاسوب والوصول إلى ملفاته بهدف الحصول على البيانات الشخصية. ويتم ذلك عن طريق خداع المستخدم لإنشاء خادم ملفات نشط (عبر نافذة اختيار الملفات والمجلدات التي يستخدمها المتصفح). وبذلك، يستطيع المهاجمون الوصول إلى الملفات وسرقتها من أجهزة ضحاياهم. ^{[ 16 ]}

أظهرت دراسة نُشرت عام ٢٠١٤ من قِبل باحث في جامعة كارنيجي ميلون أنه على الرغم من أن المتصفحات ترفض خاصية التعبئة التلقائية إذا كان البروتوكول المستخدم في صفحة تسجيل الدخول الحالية مختلفًا عن البروتوكول المستخدم وقت حفظ كلمة المرور، إلا أن بعض برامج إدارة كلمات المرور تقوم بتعبئة كلمات المرور المحفوظة عبر HTTP بشكل غير آمن. ولم توفر معظم هذه البرامج الحماية الكافية ضد الهجمات القائمة على الإطارات المضمنة (iFrames ) وإعادة التوجيه ، مما أدى إلى كشف كلمات مرور إضافية في حال استخدام مزامنة كلمات المرور بين أجهزة متعددة. ^{[ ١٧ ]}