Кликджекинг по двойному щелчку. Новый приём обманного UI

[MonkAlex]

Сайт, который атакуют, должен успеть загрузиться за 0мс? Или предзагрузка выполняется?

[Readme]

Выполняется. В демо видно, что после нажатия "Start Here" фейковая кнопка не активна в течение некоторого таймера — в это время, вероятно, под видимым окном грузится страница атакуемого сайта. В описании атаки тоже это проговаривается (не совсем очевидно, правда).

[supercat1337]

Конечно, должен загрузиться заранее. Там скорее всего все сведётся к перемещению невидимого айфрейма под курсор между первым и вторым кликом.

[MonkAlex]

По описанию я сделал вывод что тут всё таки не айфреймы. Но я бэк разработчик, плохо знаю веб и работу браузеров.

[supercat1337]

Да, вы правильно подметили. В статье написано об открытии окон, а не айфреймов. Раньше такие атаки были популярны через айфреймы.

[Readme]

Запрос Double Click в принципе довольно странен и может насторожить (да и кто читает инструкции к капче?). Проще сделать вид, что кнопка "залипла" и не нажимается, и подменять окна только после нескольких яростных кликов (да — лаунчеры, меняющие фокус, я смотрю на вас с презрением и негодованием).

[firegurafiku]

Запрос Double Click в принципе довольно странен и может насторожить

Честно говоря, не настолько и странен. На моей памяти капча требовала всё больше странных действий, так что я не удивлюсь, если в скором будущем будет требоваться не только двойной клик, но и отжимания на камеру.

[vikarti]

Ну...покрутите головой в камеру для Liveness check уже бывает, правда у проверяльщиков документов всяких...

[Format-X22]

Так жест тоже можно подделать примерно тем же способом, разве нет?