Puoi veramente sapere chi ha visitato il tuo profilo Facebook? Un’applicazione rogue si diffonde viralmente

Il post seguente è stato tradotto per gentile concessione di Naked Security

Ancora una volta un’applicazione rogue si diffonde viralmente tra gli utenti Facebook, fingendo di offrire un modo per vedere chi ha visitato il tuo profilo.

Come abbiamo già descritto un paio di volte , un sacco di utenti Facebook *amerebbero* sapere chi li visita online…purtroppo i truffatori ne sono consapevoli e utilizzano il richiamo di tale funzionalità per ingannare l’utente a prendere decisioni sbagliate.

I messaggi che si stanno diffondendo rapidamente attraverso il social network di Facebook sono:

OMG OMG OMG ... Non posso credere che funzioni davvero! Ora si può davvero vedere chi ha visitato il tuo profilo! su [link]

OMG OMG OMG ... non posso credere che questo effettivamente funzioni! Ora si può davvero vedere chi ha visitato il tuo profilo!

Se siete tentati di fare clic sul link sarete indirizzati a una pagina web che vi incoraggia ad approfondire la cosa e permetterete ad un’applicazione di accedere al vostro profilo Facebook.

Guarda chi ha visitato il tuo profilo!

Un'applicazione rogue richiede permessi d'accesso

Vuoi veramente che perfetti sconosciuti siano in grado di inviarti e-mail, possano accedere ai tuoi dati personali e persino postare messaggi su tutte le pagine Facebook che amministri?

Se siete arrivati fin a questo punto, allora, non dovreste andare oltre. Scam simili vengono utilizzati affinché i truffatori che le gestiscono guadagnino e non esitano a utilizzare il vostro profilo Facebook per diffondere ulteriormente i loro link di spam.

Se andrete oltre, vi accorgerete che il vostro profilo sarà stato ancora una volta vittima di uno scam virale, lo diffonderete a tutti i vostri amici e alla famiglia su Facebook. E no, non saprete chi ha visitato il vostro profilo.

Vi siete mai chiesti quante persone caschino in una truffa del genere? Beh, le cifre potrebbero scioccarvi. La campagna in corso utilizza vari link differenti ma tramite bit.ly è possibile vedere che almeno uno di essi ha già ingannato circa 60.000 persone.

Ho informato il team di sicurezza, sia a bit.ly che a Facebook in merito a questi link, e ho chiesto che vengano rimossi al più presto.

Pensateci bene prima di aggiungere un’applicazione sconosciuta su Facebook e chiedetevi se siete veramente certi di concedere un tale potere a completi estranei. Gli attacchi tramite applicazioni rogue simili a questa, che si diffondono viralmente, stanno diventando sempre più comuni; e non fanno bene a nessuno, tranne ai truffatori che le gestiscono.

Se siete stati vittima di uno scam simile, rimuovete i riferimenti ad esso dal vostro newsfeed e revocate i permessi concessi alle applicazioni rogue per accedere al vostro profilo in Account > Impostazioni sulla privacy > Applicazioni e siti Web .

E non dimenticate di avvertire gli amici in merito a scam di questo tipo e insegnate loro a non fidarsi di tutti i link che si trovano di fronte.

Potete saperne di più sulle minacce alla sicurezza iscrivendovi alla fiorente comunità della pagina Facebook di Sophos .

Fonte: Can you really see who viewed your Facebook profile? Rogue application spreads virally


Posted in Naked Security, Traduzioni inglese-italiano by with no comments yet.

Le ultime funzionalità di SpyEye includono Man-in-the-Browser

Il post seguente è stato tradotto per gentile concessione di S21sec.

Meno di un mese fa, S21sec e-crime ha rilevato una nuova minaccia che elude il secondo vettore di autenticazione basato sugli SMS.

Oggi presentiamo una nuova tecnica che, pur essendo già nota, nelle ultime settimane sta colpendo alcune organizzazioni : Man in the Browser


Questa nuova tecnica (MitB) viene utilizzata da un trojan, che infettando e prendendo il controllo di un web browser, modifica pagine, informazioni sulle transazioni, ecc…; tutto questo furtivamente, senza che l’utente o l’applicazione della banca online se ne accorgano.

In questo caso il trojan non è il ben noto Zeus/Zbot ma il suo “concorrente” conosciuto come SpyEye. Prima della fine del 2009, un nuovo Trojan bancario chiamato SpyEye, ha fatto la sua comparsa nel mondo underground. È scritto in C ++ e la gamma dei sistemi supportati spazia da Windows 2000 a Windows 7. Funziona in ring3 (modalità utente), come il suo concorrente ZeuS, anche se questa non è l’unica somiglianza tra i due trojan.

SpyEye è venduto in diversi forum e si dice che non sia rilevabile dalla maggior parte dei software antivirus; ma nasconde anche diversi file e chiavi di registro. SpyEye possiede molte delle caratteristiche di Zeus, anche se è ancora in sviluppo. Il pacchetto di distribuzione di questo trojan è simile a Zbot/Zeus e altri fraud kit solitamente distribuiti nei forum dell’Europa orientale e della Russia.

Le caratteristiche principali delle versioni precedenti di SpyEye sono le seguenti:

  • Form Grabbing: cattura i dati inseriti dall’utente nei campi dei form presentati dal browser.
  • Iniezione di codice: questa tecnica comporta l’iniezione di codice HTML nel browser della vittima per ottenere ulteriori informazioni che l’organizzazione non potrebbe mai chiedere. Nei file di configurazione analizzati, l’informazione richiesta è, di solito, il codice di sicurezza completo.
  • Furto delle credenziali FTP e POP3: comprende il monitoraggio del traffico di rete, intercettando le funzioni API per il filtering e la memorizzazione delle credenziali, soprattutto per monitorare il traffico e individuare i valori “USER” e “PASS”

  • Furto dell’autenticazione di base http : un approccio simile al furto delle credenziali FTP e POP3

La versione trattata in questo caso include anche le seguenti caratteristiche.:

  • Screenshots: nel file di configurazione è possibile impostare gli URL che attiveranno la cattura degli screenshot, catturando una specifica zona dello schermo mantenendo le dimensioni originali.

    Un esempio è:

    https://onlineaccess.mybank.com/authenticate* 500 200 10 60

  • Capacità di effettuare Man in the Browser (MitB).
  • Abbiamo notato un aumento del numero dei campioni di SpyEye in the wild rispetto a settembre, perciò crediamo che questa campagna trojan sia iniziata in questo mese:


    I primi casi di frode sono stati rilevati intorno alla metà di ottobre, con almeno due diversi campioni di trojan. È importante dire che questa tecnica ha colpito soltanto una delle organizzazioni analizzate. Anche se questo attacco è completamente operativo, crediamo che sia ancora in una fase di testing.

    Stiamo ancora lavorando sull’analisi dei binari, ma il comportamento osservato è il medesimo rilevato nel file binario scoperto lo scorso febbraio. Tuttavia alcuni miglioramenti sono stati notati in relazione all’algoritmo di cifratura del suo file di configurazione. Il rilevamento dei campioni è rispettivamente di 62% e 20%.

    La caratteristica principale e che desta maggiore preoccupazione, è l’iniezione di codice HTML. In questo caso l’iniezione è stata effettuata interamente con codice javascript, consentendo al binario di eseguire l’ MITB:

    • Il trojan riceve i dati dai conti e li invia al server C&C
    • Se il saldo del conto supera una certa quantità di denaro, restituisce l’account di dati in cui deve effettuare il trasferimento fraudolento (mulo), utilizzando il seguente formato:
      [
      "trans" = 1,
      "info"  = [
       "check" = [
                  0 = XXXX,
                  1 = XXXX,
                  2 = XX,
                  3 = XXXXXXXXXX
                 ],
       "sum"     = 493,
       "name"    = "Peter",
      "address" = "12 street, nº1 1ºA",
       "city"    = "NY",
       "comment" = "Transfer"
      ]
      ]

    • Il trojan compila il form con questi dati e rimane in modalità di attesa.
    • Vengono richiesti numerosi dettagli all’utente, ad esempio la chiave della firma.
    • Tramite i dati recuperati, viene inviato il form di trasferimento alla banca.
    • Il saldo viene modificato per nascondere la frode.
    • Come potete notare, intercettando la sessione dell’utente legittimo, la frode è realizzata in modo tale che sia più difficile rivelarla da parte dell’organizzazione

      Nei campioni analizzati sembra che vengano utilizzati tre differenti conti per eseguire il trasferimento fraudolento. In questo caso, tutti appartenenti a organizzazioni spagnole.

      S21sec e-crime vi aggiornerà non appena avrà ulteriori informazioni in merito a questa nuova tecnica.


      Santiago Vicente
      S21sec e-crime

      Fonte: SpyEye latest features include Man-in-the-Browser


      Posted in S21sec, Traduzioni inglese-italiano and tagged , , by with no comments yet.