Angreifer trick Facebook-Nutzer in der Aufdeckung geheimer Sicherheitscodes

2014-01-10  |  Comebuy News

Neue Social Engineering-Angriffe sind Facebook-Nutzer betrügen, in Anti-CSRF-Token, die in Verbindung mit ihren Sitzungen auszusetzen. Diese Sicherheits-Codes ermöglichen es Angreifern um nicht autorisierte Zugriffe über Browser des Opfers zu machen.

Comebuy Verwandte Artikel: Facebook Befestigung gefährlich Privatsphäre BugNext Generation Clickjacking Angriff RevealedFacebook Wurm verbreiten indem Sie auf spärlich bekleideten Frau PicThe Zukunft MalwareFacebook Benutzer hit von Hoax sexy video

Cross-Site Request Forgery (CSRF) ist eine Angriffstechnik, die die Vertrauensstellung zwischen Webseiten und authentifizierten Benutzern missbraucht. Wegen der Art die Web-arbeiten, eine Seite eines Besuchers Browser eine Anforderung an einen Drittanbieter-Website auszugeben, wo der Benutzer authentifiziert ist, theoretisch zwingen können, somit huckepack auf ihre aktiven Sitzung.

Um dies zu verhindern, einbetten Websites eindeutige Autorisierungscodes bekannt als Anti-CSRF-Token in Formen. Da diese nicht Angreifer zur Verfügung stehen, können Rogue-Anforderungen nicht mehr erfolgreich ausgelöst werden.

Sicherheitsexperten von Symantec haben jedoch eine neue Art von Facebook Angriff erkannt, in denen Opfer Übergabe solcher Token manuell überlistet durch einen gefälschten Verifizierungsprozess durchlaufen.

Die Betrügereien beginnen mit Spamnachrichten, die interessante Videos, das an den Wänden Facebook bereits kompromittierten Benutzer bereits kompromittierten Benutzer gesendet wird zu unterstützen. Diese Nachrichten enthalten Links zu Seiten Dritter, die YouTube vortäuschen.

Wenn sie auf diesen Angriff-Websites eingehen, sind Opfer Rogue Dialoge angezeigt, die anweisen, ihnen nach dem Zufallsprinzip generierten angeblich ein Antispam-Mechanismus generierten Code einfügen.

In der Realität wird dieses Stück Code durch Ausführung einer Anforderung an ein Facebook-Skript im Hintergrund und enthält das Anti-CSRF-Token, das dem Benutzer durch die social-networking-Website zugewiesen.

Daher gibt in das Dialogfeld einfügen die Angreifer alles, was sie brauchen um autorisierte Zugriffe im Namen des Opfers zu machen. Im Beispiel präsentiert von Symantec wurde das Token verwendet, um den Betrug zu verbreiten, durch die Veröffentlichung der ursprünglichen Spamnachricht an den Benutzer Wand.

Dieser Social-Engineering-Trick ist ähnlich wie im so genannten selbst-XSS-Angriffe, die Benutzer, die JavaScript-Code in die Adresszeile ihres Browsers einfügen umfassen. Es ist nicht klar, warum Angreifer die CSRF-Methode angewandt, da beide Angriffe ebenso schwer auseinanderzuhalten sind; jedoch könnte es etwas mit der Tatsache zu tun, dass in diesem Jahr Facebook Sicherheitsmechanismen implementiert, um die Erkennung und Blockierung von selbst-XSS haben.

Nach Angaben von Symantec sagte der soziale Vernetzung Riese arbeitet an Lösungen, um diese Angriffe mit Browser-Herstellern und ständig Konten auf verdächtiges Verhalten überwacht.

"Angreifer einige wirklich innovative Social-Engineering-Techniken nutzen, um ihre Opfer zu betrügen. Wir empfehlen Benutzern ihre Sicherheits-Software auf dem neuesten Stand zu halten, und klicken auf einen der Links, die zu misstrauen scheinen nicht"geraten die Sicherheitsexperten von Symantec.

« Back