Une fonctionnalité légitime du navigateur peut être utilisée pour faire croire aux utilisateurs qu'un site web de confiance leur a demandé de télécharger un fichier, qui est en fait servi par un serveur L'attaque de preuve de concept de Zalewski commence par un bouton sur une page qui, lorsqu'on clique dessus, ouvre le site officiel de téléchargement de Flash Player dans un second onglet et met l'accent sur le navigateur . Après quelques secondes, la page d'origine sert un fichier appelé flash11

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

"D'une certaine façon, est le Saint Graal d'un ingénieur social », a déclaré Emmanuel Carabott, responsable de la recherche sur la sécurité chez le fournisseur de sécurité GFI Software, par e-mail. "Ce qu'un ingénieur social essaye de faire, c'est de vous faire confiance à ce qu'il dit: plus il sera authentique, plus l'attaque sera réussie."

Il y a eu de nombreuses attaques d'ingénierie sociale dans le passé qui trompé les utilisateurs dans le téléchargement de fichiers malveillants en les transmettant en tant que mises à jour de Flash Player. Beaucoup de ces attaques utilisaient des pages usurpées qui imitaient le site officiel d'Adobe Flash Player.

La méthode de Zalewski élimine le besoin de pages spoofées, augmentant potentiellement le taux de réussite de telles attaques en rendant le tour plus crédible.

Utilisateurs présenté avec une demande de téléchargement Flash Player à partir du site Web de Flash Player acceptera le téléchargement avec peu ou pas d'hésitation, a déclaré Bogdan Botezatu, un analyste e-menace senior chez le fournisseur d'antivirus BitDefender, par e-mail. "Plus une attaque est légitime, plus le taux de réussite est élevé."

"Tous les trois principaux navigateurs [Internet Explorer, Mozilla Firefox et Google Chrome] sont actuellement vulnérables à cette attaque", a déclaré Zalewski dans un article.

Internet Explorer et Firefox spécifient le nom d'hôte à partir duquel le fichier sera téléchargé dans la boîte de dialogue de téléchargement. Cependant, Zalewski estime que ces indicateurs sont inadéquats et que tant que l'invite de téléchargement est attachée à la mauvaise fenêtre du navigateur, de nombreux utilisateurs ne les remarqueront pas.

Selon le chercheur, les vendeurs du navigateur ont été informés de ce problème depuis le début d'avril, mais aucun d'eux ne se précipite pour y remédier. Microsoft ne prévoit pas de le réparer via un correctif de sécurité pour l'une des versions actuelles d'Internet Explorer, Mozilla n'a pas non plus fixé de correctif et, bien que les développeurs de Chrome aient convenu qu'il fallait y remédier, ils n'ont pas défini de

"Je pense que ces réponses vont bien, étant donné l'état désastreux de la sécurité de l'interface utilisateur du navigateur en général, même si en toute bonne conscience, je ne peux pas considérer le problème comme totalement insignifiant", a déclaré Zalewski. .

Carabott et Botezatu ont tous deux convenu que ce problème devrait être résolu car les attaquants risquent de commencer à l'exploiter s'il n'est pas traité. Selon M. Carabott, le fait que cette méthode d'attaque exploite les fonctionnalités légitimes du navigateur peut être plus difficile à atténuer, explique Carabott.

Mozilla n'a pas immédiatement renvoyé une demande de commentaire.

"La meilleure pratique consiste à refuser tout téléchargement qui démarre automatiquement", a déclaré Botezatu. "Si cela n'est pas possible, les utilisateurs doivent scanner le fichier téléchargé avec un antivirus ou en ligne avec un service antivirus multi-moteur."