Спамеры на Facebook обманным путем вынуждают пользователей делиться анти-CSRF токенами

Спамеры на Facebook обманным путем вынуждают пользователей делиться анти-CSRF токенами

Спамеры Facebook уже использовали значительное число различных приемов, чтобы заставить пользователей без своего ведома им помогать, и большинство из них относятся к социальной инженерии.

Довольно интересный метод был замечен недавно исследователями из Symantec, и, по их словам, в ближайшее время его будут часто использовать.

Если коротко, то мошенники заставляют аккаунт жертвы оставлять сообщения, выполняя Cross-site Request Forgery атаку после того, как жертву обманным путем принуждают поделиться анти-CSRF токенами, сгенерированными Facebook.

Получив анти-CSRF токен, преступники способны сгенерировать действительный CSRF токен, что позволяет им использовать подлинную сессию, чтобы оставлять оскорбительные сообщения баз ведома пользователя.

Атака начинается с типичного сообщения, приглашающего пользователя посмотреть "классное видео" или что-нибудь в этом роде. Клик по ссылке переносит пользователя на поддельную страницу YouTube, и когда он хочет включить видео, выскакивает окошко, в котором говорится, что он должен пройти "Проверку Безопасности YouTube".

Когда пользователь жмет на ссылку "Сгенерировать Код", посылается запрос на 0.facebook.com/ajax/dtsg.php, после чего в отдельном окне возвращается JavaScript код, содержащий анти-CSRF токен сессии.

После того, как пользователь скопировал и вставил сгенерированный код в пустое поле и нажал кнопку "Подтвердить", код отправляется хакеру, который извлекает анти-CSRF токен, создает CSRF токен и вставляет его в свой собственный образец кода, который, в конце концов и выполняет атаку и публикует вредоносное сообщение и ссылку на стене пользователя.

Атаки, которые просят пользователей копировать и вставить JavaScript, чтобы получить доступ к какому-либо контенту, не новы для социальных сетей, но спамеры не слишком часто их использовали в последнее время.

Возможно из-за автоматизированного мониторинга аккаунтов, который Facebook начала использовать, или, возможно, они слишком часто использовали этот подход за короткий период времени, из-за чего у пользователей к подобным запросам выработалось определенное отношение. В любом случае, исследователи полагают, что этот конкретный подход может набрать популярность, но и другие, еще более инновационные методы, обязательно появятся.

Источник:
Xakep.ru