Niebezpiecznik

Zapewne część z Was, która śledzi nas na Facebooku, widziała kilka dni temu nasz post-eksperyment. Dziś publikujemy jego wyniki. Ile osób udało się nabrać? Kto podał prawdziwe hasło? O tym poniżej:

Facebook pozwala na phishing

Szymon, członek niebezpiecznikowego zespołu pentesterów, znalazł ciekawy wektor ataku na użytkowników Facebooka. Zgodnie z praktyką responsible disclosure, opis tego ataku został zgłoszony do Facebooka. Dział bezpieczeństwa tej firmy nie uważa jednak, aby problem był istotny (i pozwolił na upublicznienie opisu problemu):

Odpowiedź działu bezpieczeństwa Facebooka

Na czym polega atak?

W szczegółach błąd został opisany przez nas tutaj, a w skrócie chodzi o to, że na Facebooku, w ramach posta, można osadzić własny aplet Flasha (jako tzw. “Self Hosted Object”). Apletu nie da się jednak wykorzystać do klasycznych ataków typu: kradzież ciasteczek, ponieważ ustawiono atrybut AllowScriptAccess tagu embed na wartość never. Ponieważ jednak aplet może zawierać dowolną treść, a w szczególności łudząco przypominać wyglądem fragmenty Facebooka, można za jego pomocą wykonać atak typu phishing na użytkownika.

Publikacja postu-eksperymentu na fanpage Niebezpiecznika

Nasz eksperyment

Postanowiliśmy zweryfikować, ile osób nabierze się na tak przygotowany aplet, proszący o podanie hasła pod pretekstem upewnienia się, że mamy do czynienia z pełnoletnim użytkownikiem (miał zostać wyświetlony film tylko dla dorosłych).

Treść postu eksperymentu robiąca grunt pod phishing

Wpis, który umożliwiał załadowanie przygotowanej aplikacji Flash został opublikowany na testowym koncie, z którego post został najpierw udostępniony na prywatnym koncie Piotrka, a potem po zapoznaniu się z opiniami i uwagami osób, które miały okazję zapoznać się z tą wersją, przygotowana została nowa wersja ataku, tym razem opublikowana na oficjalnym fanpage Niebezpiecznika.

W pierwszej wersji ataku (na koncie Piotrka) po wpisaniu hasła w fałszywej, ale łudząco podobnej do Facebooka formatce, użytkownicy od razu byli informowani, że zostali “nabrani”.

Oto wersja demo – dokładnie taka sama, jak w poście

W drugiej wersji ataku (tej na fanpage Niebezpiecznika), po pierwszym wprowadzeniu hasła prezentowaliśmy zawsze jeszcze raz ten sam ekran proszący o hasło, z komunikatem “Twoje hasło było nieprawidłowe”. Takie działanie miało na celu odsiać dowcipnisi i utwierdzić użytkowników w przekonaniu, że nie jest to nasz żart, tylko rzeczywisty “mechanizm bezpieczeństwa” Facebooka. Ci którzy wpisaliby poprawne hasło za pierwszym razem, zapewne pomyśleliby, że zrobili literówkę i dlatego Facebook prosi ich o wprowadzenie hasła jeszcze raz.

Oto wersja demo – dokładnie taka sama, jak w poście

Wyniki eksperymentu

Pierwsza wersja apletu

Treść w języku angielskim
Jednokrotna prośba o podanie hasła
Przeprowadzono w dniach: 26.09.2013 – 03.10.2013
Profil: piotrkonieczny (i inne, które udostępniły posta na swoich profilach).

Statystyki facebookowego phishingu – pierwsza wersja apletu

Rozkład liczby wysłanych formularzy w zależności od długości wprowadzonego ciągu znaków

Druga wersja apletu

Treść w języku polskim
Dwukrotna prośba o podanie hasła
Przeprowadzono w dniach: 01.10.2013 – 03.10.2013
Profil: niebezpiecznik (i inne, które udostępniły posta na swoich profilach).

Liczba osób podających hasła w drugiej wersji apletu

Rozkład liczby wysłanych formularzy w zależności od długości wprowadzonego ciągu znaków

Rozkład długości podawanych haseł, uwzlędniający tylko tych użytkowników, którzy za pierwszym i drugim razem podali hasło o tej samej długości.

Wnioski

W przypadku pierwszej wersji apletu aż 137 osób tj. 31% wszystkich unikalnych użytkowników wysłało ciąg znaków o długości większej lub równej 6 znaków. Skupmy się jednak na wynikach drugiej, bardziej dopracowanej wersji apletu.

Na 656 unikatowych adresów IP, które zostały objęte badaniem w przypadku drugiej wersji apletu na fanpage Niebezpiecznika, tylko 40 podało na pierwszym i drugim ekranie dokładnie to samo hasło (aplet nie logował i nie wysyłał nigdzie wprowadzanych haseł, ale zapisywał je po stronie klienta na każdym z kroków i porównywał). Wśród tych osób było 37 osób, które podały ciągi o długości równej bądź większej niż 6 znaków (minimalna długość hasła na Facebooku) — stanowi to 29% wszystkich, którzy wysłali formularz na drugim ekranie i aż 6% wszystkich osób (unikalnych IP) które wzięły udział w badaniu.

Co ciekawe, osób, które za pierwszym razem podały ciąg niespełniający wymagań polityki haseł portalu (mniej niż 6 znaków), a za drugim co najmniej 6 znakowy było 27 (4% wszystkich unikatowych IP biorących udział w badaniu).

Dodatkowo, z naszej ankiety, przeprowadzonej w poście, do którego kierowały aplety po podaniu hasła, “wyjaśniając co się stało”, wynika, że w sumie (z obu ataków) 43 osoby przyznały się do podania poprawnego hasła. Post odwiedziło 3735 osób (był w “głębokim ukryciu” — dostać się do niego można było tylko po linkach z apletów).

Dodatkowo, warto zauważyć jeszcze jedną ciekawą rzecz. Przeciętny post na Niebezpieczniku dociera do ok. 40 000 internautów — ten z atakiem, pomimo aktywnego “udostępniania”, komentowania i “lajkowania”, dotarł tylko do 1/8 przeciętnego zasięgu. Nie węszymy tu ręcznej manipulacji po stronie Facebooka, stawiamy raczej hipotezę, że osadzanie treści flashowych od niezaufanych źródeł ma negatywny wpływ na Edge Rank:

Zasięg przeciętnego posta na Facebooku Niebezpiecznika

Zasięg posta z “atakiem”, osadzającego aplet Flash z serwerów niezaufanego partnera

Macie jakieś pomysły na dalsze udoskonalenia “ataku”?

Przeczytaj także:

• Ciekawy sposób na phishing w Facebooku
• Seksowne video, czyli nowy przekręt na Facebooku
• Facebook i ciekawy scam