谷歌修复Chrome中的邪恶光标漏洞，已被技术支持诈骗利用

       谷歌已经修补了一个Chrome漏洞，该漏洞目前正被技术支持诈骗者滥用，通过阻止用户关闭和离开浏览器标签来创建人工鼠标光标和锁定浏览器页面内的用户。

       这一伎俩是2010年的第一份文件，但最近才进入技术支持诈骗者的军火库——2018年9月，Malwarebytes分析师JeromeSegura发现了这一伎俩。称为“邪恶的光标”，它依赖于使用自定义图像替换操作系统的标准鼠标光标图形。

       Malwarebytes称之为Partnerstroka的犯罪集团，通过将标准OS 32 x 32像素鼠标光标切换为128或256像素之一来操作。

       一个普通的光标仍然会出现在屏幕上，但会出现在一个更大的透明边界框的一角。

       诀窍是，用户会认为他们会点击光标出现的地方，但实际上他们会点击屏幕的另一个区域，防止他们关闭弹出窗口和浏览器标签，因为不准确的点击。请参见下面的动画gif。

                   “邪恶光标”是技术支持诈骗者实现浏览器锁定效果的一种简单而有效的方法。错误报告：https://t.co/xk63djq6wh pic.twitter.com/zncs8ox9g

                   — Jérôme Segura (@jeromesegura) September 14, 2018

                    不过，Segura去年秋天向谷歌报告了这个漏洞，但修补起来并不简单。

       浏览器支持为网络游戏定制鼠标光标图像，并允许浏览器构建沉浸式体验，因此不允许使用过大的光标不是一个理想的解决方案，因为如果不是更多的话，它会对数千个网站产生负面影响。

       然而，经过数月的测试，谷歌工程师想出了一个折衷方案，既满足了Segura的安全相关问题，又没有破坏现有网站。

       根据此bug报告，当鼠标悬停在Chrome浏览器界面的部分（选项卡栏、地址栏、菜单等）上时，Chrome将自动将鼠标光标还原回标准的OS图形，但在悬停页面内容时将保留自定义光标。

       这样，登陆Partnerstroka帮派（当今最活跃的组织之一）运营的技术支持诈骗网站的用户就可以离开这些网站而不被锁定。

     “邪恶光标”修复目前正在为谷歌金丝雀用户直播，并计划登陆Chrome75稳定分支，将于今年春天晚些时候发布。

       在总体方案中，用户可能认为这个修复是微不足道的，但实际上这是一个非常重要的修复。技术支持诈骗是当今网络犯罪现场的一个大问题，数十万受害者因此损失了数十亿美元。

       例如，本月早些时候被捕的一名技术支持诈骗网站运营商在四年的时间里从受害者身上骗走了300万美元，这是一笔可观的利润。

       技术支持诈骗者经常使用浏览器错误来冻结CPU或将用户锁定在选项卡中，以此来欺骗受害者相信他们有技术问题并拨打技术支持号码。

       修复这些浏览器漏洞是必须的，其中一个漏洞可能会给网络犯罪团伙造成巨大的经济损失，并保护成千上万的普通用户免受诈骗。

       【免责声明】本站内容转载自互联网，其相关言论仅代表作者个人观点绝非权威，不代表本站立场。如您发现内容存在版权问题，请提交相关链接至邮箱：caojing@lanou3g.com，我们将及时予以处理。

【招生专业】：网络安全

【招生人数】：30人

【开班时间】：2019-5-15

【推荐岗位】：等保测试工程师、安全服务工程师、渗透测试工程师、安全运维工程师、代码审计工程师等

【授课老师】：李老师、黄老师、朱老师

      【李老师简介】

       15年IT从业经验，8年企业ERP软件开发经验。他开发过大型国企的ERP管理软件和电厂ERP软件，熟悉企业管理的业务流程；2年移动互联网产品经理。

       国内最早接触iOS开发和从事iOS教学的工程师。6年以来，一直致力于苹果应用软件及驱动的开发和研究及专业人才的培养工作。不仅如此，而且李老师产品经验丰富，对C、C++、Java、JavaScript、Cocos游戏引擎非常精通。

       参与过哈票网站产品设计，主导手机WAP网站设计和iOS客户端产品设计，开发过多款iOS平台项目和Android项目，如：yoyokvknowlege、寺库（iPad）、航旅纵横、团宝网、绘本等。

      【授课特点】

       在课堂上他能从行业及产品方面引导学生。比较注重学习方法的引导。而且，他经常结合生活的案例把复杂的知识点讲清楚，注重设计模式方面的教学。

      【黄老师简介】

       参加过中美黑客大战，擅长代码审计，渗透测试与漏洞挖掘技术；精通php，java，.net，c++等编程语言，开发过C++远程控制系统；精通MySql、Mssql数据库，多年渗透测试攻防经验、对waf绕过有深入研究；

      【授课特点】

       授之以渔而非授之以鱼，擅长引导学生学习，锻炼学生思维扩展能力，注重学生自主学习能力的培养。

      【班级介绍】

       1、本班型从零基础开始授课，迭代式教学，由浅入深。 

       2、小班制授课，每个班级人数20人，保障教师上课效果，让学员学会、学精。 

       3、入学签订就业协议，确保合格毕业学员获得高薪工作。