1. Browser extensions – en strukturell risiko
Hvorfor de er farlige
Browser‑extensions har i praksis:
- tilgang til nettsider du besøker
- tilgang til cookies, tokens og sesjoner
- mulighet til å injisere eller endre innhold
Dette betyr at en extension kan:
- lese e‑post i M365 eller Gmail
- kapre aktive sesjoner (token theft)
- manipulere brukerens visning av legitime sider
I Browser & Identity‑perspektivet er dette kritisk fordi:
Extensions opererer inne i samme sikkerhetskontekst som brukeren – ofte uten synlighet for tradisjonelle sikkerhetsverktøy.
Hvordan dette utnyttes i praksis
Angripere bruker extensions til:
- Session hijacking
- Credential harvesting uten phishing
- Persistens (langvarig tilgang)
Dette er særlig effektivt fordi:
- MFA allerede er “bestått”
- alt skjer i en legitim nettlesersesjon
Kritisk vurdering
Mange virksomheter tillater fortsatt:
- fri installasjon av extensions
- liten eller ingen kontroll på tillatelser
Dette er i praksis å gi kode:
direkte tilgang til virksomhetens mest verdifulle angrepsflate – identiteten.
2. DevTools og script‑kjøring – høy risiko gjennom sosial manipulering
Hva er problemet?
DevTools gir mulighet til å:
- kjøre JavaScript direkte i nettleseren
- manipulere DOM, cookies og API-kall
- hente ut tilgangstokens
Dette blir farlig når det kombineres med sosial manipulering:
- ClickFix-lignende angrep
- “kopier og lim inn denne kommandoen”
- feilsøking eller “fix”-scenarioer
Typisk angrepsmønster
- Bruker får instruksjoner (f.eks. fra phishing-side)
- Åpner DevTools
- Limer inn script
- Scriptet:
- laster ned kode
- henter tokens
- oppretter bakdør
Dette er i praksis det samme som:
å gi angriperen direkte kodekjøring i brukerens nettlesersesjon
Hvorfor dette fungerer
- Oppleves som legitim feilsøking
- Krever ingen exploit
- Omgår alle tekniske kontroller som baserer seg på blokkering
Og viktigst:
Brukeren gjør det selv – dermed ser det legitimt ut.
3. Samlet vurdering i lys av moderne angrep
Sett opp mot ClickFix, ConsentFix og device code phishing:
| Angrepstype | Rolle til extension / DevTools |
|---|---|
| ClickFix | DevTools / terminal copy-paste |
| InstallFix | CLI / lokal scriptkjøring |
| ConsentFix | token exfiltration mulig via script |
| Device code phishing | session/token reuse mulig via extension |
Dette viser at:
Extensions og script‑kjøring er ikke isolerte risikoer – de er en del av samme angrepsøkosystem.
4. Strategisk implikasjon
For ledelsen betyr dette:
1. Tillitsmodellen er feil
Man antar ofte at:
- kode i nettleseren = trygg
- brukerinitiert handling = legitim
Dette er ikke lenger sant.
2. Nettleseren er et “uovervåket miljø”
- EDR ser lite
- nettverkskontroller ser lite
- identitetskontroller trigges ikke
3. Tradisjonell sikkerhet stopper ikke dette
- MFA hjelper ikke mot tokenmisbruk
- antivirus ser ikke script i DevTools
- e‑postfilter stopper ikke alt
5. Anbefalte tiltak (kort og konkret)
Teknisk
- Begrens eller whitelist browser extensions
- Bruk enterprise‑kontroll på extension permissions
- Overvåk token‑bruk og sesjoner
- Vurder browser‑basert sikkerhetsverktøy
Organisatorisk
- Forby “copy‑paste kommandoer fra eksterne sider” som praksis
- Tren ansatte på DevTools‑misbruk og ClickFix
- Oppdater sikkerhetspolicy: nettleseren = kritisk sone
6. Konklusjon
Ja – både browser extensions og DevTools‑script utgjør en betydelig risiko.
Men viktigere:
De er ikke bare en risiko – de er en sentral del av moderne angrep mot identitet.
Hvis dette ikke håndteres aktivt, vil virksomheten ha en “blind sone” akkurat der dagens mest effektive angrep skjer.
Hovedpoeng:
- Angrep skjer nå primært i nettleseren
- Identitet er hovedmål (ikke nødvendigvis maskinen)
- Mange angrep berører ikke endepunkt eller nettverk i det hele tatt [pushsecurity.com]
Dette har to viktige implikasjoner:
- Tradisjonelle sikkerhetsverktøy (EDR, e-postfilter) mister effektivitet
- “Initial access” – hvordan angriper får tilgang – er blitt det viktigste angrepspunktet
Utviklingen innen phishing og identitetsangrep har de siste 12–18 månedene akselerert kraftig. Der vi tidligere så relativt enkle e‑postbaserte angrep, står vi nå overfor en langt mer sofistikert og industrialisert trusselmodell. Kjernen i denne utviklingen er at angrepene flyttes fra tradisjonelle endepunkt og nettverk – og inn i nettleseren og identitetslaget.
Denne artikkelen forklarer hva som driver utviklingen, og hvorfor teknikker som ClickFix, InstallFix, ConsentFix og enhetskode‑phishing representerer et paradigmeskifte.
1. ClickFix – startpunktet for en ny angrepsfamilie
ClickFix er i utgangspunktet en sosial manipuleringsteknikk hvor brukeren lures til å utføre handlinger selv, typisk kopiere og lime inn kommandoer i terminal eller kjøredialog. [microsoft.com]
Det som gjør ClickFix spesielt effektivt er:
- Den utnytter brukerens tillit til “ufarlige” handlinger (f.eks. CAPTCHA eller feilmeldinger)
- Den omgår mange automatiserte sikkerhetsmekanismer fordi brukeren selv initierer handlingen
- Den fungerer på tvers av plattformer (Windows, macOS, nettleser)
Dette har gjort ClickFix til en av de raskest voksende angrepsmetodene, og et naturlig utgangspunkt for videre innovasjon.
2. Fra ClickFix til InstallFix og ConsentFix
InstallFix – misbruk av utviklerkultur og AI-verktøy
InstallFix er en videreutvikling der angripere kloner legitime installasjonssider og manipulerer brukere til å kopiere skadelige installasjonskommandoer. [pushsecurity.com]
Dette er spesielt effektivt fordi:
- “copy-paste install” er blitt normal praksis
- AI-verktøy og CLI-verktøy har bred utbredelse
- målgruppen inkluderer også tekniske brukere som normalt anses som mer robuste
Dette representerer en viktig endring: angripere går etter høykompetente brukere ved å utnytte normale arbeidsvaner.
ConsentFix – phishing uten passord
ConsentFix tar konseptet enda videre ved å kombinere ClickFix med OAuth‑misbruk. [pushsecurity.com]
Kritiske egenskaper:
- Ingen passord stjeles
- MFA trigges ikke
- angrepet skjer fullt ut i nettleseren
- brukeren gir selv tilgang via OAuth
I praksis betyr dette at:
Tradisjonelle sikkerhetskontroller (passord, MFA, passkeys) kan bli irrelevante.
Dette er et fundamentalt skifte i hvordan vi må tenke identitetssikkerhet.
3. Enhetskode‑phishing – fra nisje til industri
Enhetskode‑phishing (device code phishing) er et annet eksempel på denne utviklingen. Angrepet misbruker en legitim OAuth‑flyt designet for IoT og CLI-verktøy.
Angrepsmodellen:
- Angriper genererer en autentiseringskode
- Offeret lures til å taste inn koden på en ekte Microsoft-side
- Angriperen mottar en gyldig OAuth-token
Resultatet:
- Ingen passord kompromitteres
- MFA gjennomføres “legitimt”
- angriper får direkte tilgang til konto [bleepingcomputer.com], [cybersecur…tynews.com]
Dette gjør angrepet svært vanskelig å oppdage.
Fra teknikk til PhaaS (Phishing-as-a-Service)
Det mest bekymringsfulle er industrialiseringen:
- Ferdige plattformer (f.eks. Kali365) selges som tjenester [bleepingcomputer.com]
- Lav terskel for angripere
- Automatiserte kampanjer
- AI-genererte lokkemeldinger
Dette har ført til at:
- Angrep skjer i stor skala
- Kompetansekravet hos angripere synker drastisk
4. Konvergens: AiTM + identitetsangrep + nettleser
Vi ser nå en tydelig sammensmelting av teknikker:
- ClickFix (brukerhandling)
- AiTM (sanntidskapring av sesjoner)
- OAuth-misbruk (token-basert tilgang)
- Device code phishing (passordløs kompromittering)
Dette skjer innen én og samme angrepsplattform.
5. Innsikt fra Dokos Panel og kriminelle økosystemer
Funn fra phishing‑paneler brukt av grupper som ShinyHunters og BlackFile viser at:
- Angrepsverktøy er nå “hyllevare”
- Flere uavhengige grupper bruker samme plattform
- Over 400 domener knyttes til én infrastruktur [pushsecurity.com]
Panelene tilbyr:
- sanntidsstyring av angrep
- synkronisering mellom phishing og telefonangrep (vishing)
- full kontroll over autentiseringsflyt
Det er også indikasjoner på betydelig bruk av AI til:
- generering av phishing-innhold
- automatisering av angrep
- rask skalering av infrastruktur [securitricks.com]
6. Browser & Identity Attacks Matrix – hvorfor dette skjer
Denne utviklingen forklares godt gjennom Browser & Identity Attacks Matrix.
Hovedpoeng:
- Angrep skjer nå primært i nettleseren
- Identitet er hovedmål (ikke nødvendigvis maskinen)
- Mange angrep berører ikke endepunkt eller nettverk i det hele tatt [pushsecurity.com]
Dette har to viktige implikasjoner:
- Tradisjonelle sikkerhetsverktøy (EDR, e-postfilter) mister effektivitet
- “Initial access” – hvordan angriper får tilgang – er blitt det viktigste angrepspunktet
7. Hva betyr dette for virksomheter?
Kritisk vurdering
Det er lett å undervurdere disse angrepene fordi de ikke “ser avanserte ut”. Mange bygger fortsatt på:
- sosial manipulering
- brukerhandling
- legitime tjenester
Men nettopp dette gjør dem farlige.
Konsekvenser
Virksomheter må erkjenne at:
- MFA alene ikke er tilstrekkelig
- identitet er det nye angrepspunktet
- nettleseren er et kritisk sikkerhetsdomene
- brukere kan ikke være siste forsvarslinje
8. Anbefalte tiltak
For ledere og sikkerhetsmiljøer bør fokus endres:
Teknisk
- Begrens eller kontroller device code flow
- Overvåk OAuth‑tokens og sesjoner
- Implementer phishing‑resistente autentiseringsmetoder
- Innfør browser‑basert sikkerhet (ikke kun endpoint)
Organisatorisk
- Oppdater trusselmodell (fra “credential theft” til “session/token theft”)
- Tren ansatte på nye angrepsmønstre (ikke bare e‑post)
- Forstå risikoen i AI-verktøy og CLI‑arbeidsflyt
Konklusjon
Vi står midt i et skifte:
- fra passord til tokens
- fra malware til brukerhandling
- fra endepunkt til nettleser
ClickFix, InstallFix, ConsentFix og enhetskode‑phishing er ikke isolerte fenomener – de er symptomer på en større utvikling hvor identitet og nettleser er blitt den primære angrepsflaten.
For virksomheter betyr dette én ting:
Sikkerhetsstrategien må flyttes dit angrepene faktisk skjer – inn i nettleseren og identitetslaget.
Informasjon er kopiert med tillatelse fra:
https://blog.taikinews.com/nettleseren-er-den-nye-frontlinjen-en-ny-generasjon-identitetsangrep/
https://blog.taikinews.com/browers-extensions-devtools-risiko/
Node-RED LoRaWAN CouchDB and more 
Leave a comment