El título hace referencia a SET (Social Engineering Toolkit), ya que en reiteradas y comprobadas ocasiones, facebook actúa como plataforma de propagación de phishing.
Una vez más, hemos detectado un modesto y permisivo error de diseño por parte de Facebook que permitiría a un atacante, generar un vector de propagación de phishing. Nuevamente, no hay reportes hasta el momento sobre el mal uso de dicha funcionalidad.
Anteriormente publicamos 1 artículo que se relaciona directamente con este ataque: Ingenieria Social A traves Del boton “Me Gusta” , si no lo leyeron todavía, los invitamos a hacer una revisión rápida para una mejor comprensión de las posibles combinaciones.
Como se detalla en el artículo anterior, un atacante puede hacerse del fallo de diseño para aumentar la confiabilidad y reputación de una nota, para luego modificarla y publicar links con contenido malicioso en ella. En este caso particular sumamos la posibilidad de generar 2 nuevos aditivos que hacen más “Llamativa” la nota a la hora de hacer click sobre un supuesto link inofensivo.
En primer lugar, podemos insertar fotos en la nota, algo conocido ya hace mucho tiempo. En nuestro caso fuimos capaces de insertar la imagen desde una URL externa utilizando sobre la nota código HTML.
Ejemplo:
<img SRC=”http://www.mkit.com.ar/imagen.jpg” alt=”imagen”></img>
En segundo lugar, a base de prueba y error, logramos insertar un “a href” con la posibilidad de moficar el nombre del hipervinculo.
Ejemplo:
<a href=”http://www.dominiomalicioso.com/malware.exe”>http://www.mkit.com.ar/blog</a>
Nuevamente, un atacante puede “Esconder” gracias a estas funcionalidades, su redirección a un sitio contaminado o bien con algún engaño elaborado para hacer que el usuario caiga en su trampa.
En las pruebas de rutina del funcionamiento del “Posible” ataque, logramos comprobar cierto comportamiento:
- Si se comparte la nota sobre el muro y, si se agrego como nombre de hipervínculo la expresión “http://”, y se intenta hacer click EN el link de la nota EN el muro, el usuario va a ser redirigido hacia el sitio que dice el NOMBRE del hipervínculo sin importar cual sea el “a href”. En el caso del ejemplo de arriba, se redirecciona hacia “http://www.mkit.com.ar/blog” en vez de “http://www.dominiomalicioso.com/malware.exe”.
- Redireccion EN muro
- Si se comparte la nota sobre el muro y, si NO se agrego como nombre de hipervínculo ninguna expresión del tipo “http://”, el mismo aparece en la publicación del muro como texto plano, si es que llegara a entrar en el preview de la nota.
- Redireccion EN muro SIN “http”
- Si se intenta hacer click sobre el hipervínculo DENTRO de la nota, entonces de cualquier forma vamos a ser dirigidos hacia el lugar donde apunte nuestro “a href”.
- Redireccion DESDE la nota
También podríamos utilizar Short URLs para ofuscar un poco más la lectura de la barra de estado para evitar a aquellos usuarios que prestan un poco más de atención.
En este caso particular, seleccione un tema de interés del momento para comprobar la curiosidad del usuario. La redirección se hace hacia un script dentro de este mismo dominio que lleva la cuenta de los visitantes para medir el impacto que tendría si publicáramos contenido malicioso.
En un conjunto aproximado de 300 nodos, un día lunes 1:30 de la madrugada, a tan solo 40 minutos de la publicación, este es el resultado Parcial:
- Contador de Victimas
Actualizacion Lunes 10:25 A.M:
- Contador de Victimas
Ya este numero implica aproximadamente el 15% de mis contactos.
Por más que mis contactos confíen en mi y sé que por esa misma razón entran sin preocuparse (espero al menos..), hay que crear un habito en el usuario para suplir las falencias a nivel de diseño por parte de las aplicaciones de hoy en día.
En este caso, es una cuenta personal, con pocos nodos. Imaginemos si la cuenta de alguien con más de 1000 contactos fuese robada! En cuestión de minutos un atacante seria capas de robar cientos y cientos de datos o bien comprometer esa cantidad de equipos.
Posible solución:
No permitir al usuario utilizar HTML tags en la creación de notas: Ciertamente, es poco “estético” dejar la URL cruda sin cambiar su nombre. Sin embargo, podría hacerse una diferenciación entre usuarios “Corporativos” y “Regulares” y dar permisos extras a los primeros que muy probablemente hagan buen uso de dicha funcionalidad.
Concientizar al usuario: Visto el “Avance” de los vectores de phishing anteriormente denunciados, creemos que en este y en la mayoría de los casos, la forma más eficiente y eficaz de evitar un ataque, es disciplinar al usuario e inculcar poco a poco las practicas seguras a la hora de navegar tanto en las redes sociales como en cualquier red. La lectura de la barra de estados sigue siendo de extrema importancia ANTES de hacer click sobre CUALQUIER HIPERVÍNCULO.
Fuente: Gustavo Nicolas Ogawa, de la redacción del Blog de Mkit Argentina
