Niebezpiecznik

Nieznanym sprawcom udało się zainfekować złośliwym oprogramowaniem komputery kilku inżynierów Facebooka. Najprawdopodobniej ci sami sprawcy są także odpowiedzialni za niedawny wyciek 250 000 haseł z Twittera.

Jak zhackowano laptopy pracowników Facebooka?

Atakujący do infekcji wykorzystali technikę wodopoju. Najpierw przejęli kontrolę nad popularnym serwisem dla developerów aplikacji mobilnych i umieścili tam kod exploita wykorzystujący nieznany do tej pory błąd w Javie (tzw. 0day).

Wśród odwiedzających tę stronę internautów znalazło się kilku inżynierów Facebooka …i zapewne setki pracowników innych firm. Najprawdopodobniej także ostatnie włamanie do Twittera i wyciek 250 000 hashy haseł należy powiązać z tym konkretnym atakiem — Twitter ujawnił wtedy, iż włamywacze wykorzystali podatności w Javie.

Jak Facebook wykrył włamanie?

Facebook wykrył atak na podstawie analizy logów. Atakujących zdradziły nietypowe odwołania do serwera DNS (próba kontaktu z C&C). W ten sposób namierzono komputer jednego z inżynierów, a po poddaniu go analizie wykryto złośliwe oprogramowanie. Przeszukanie reszty firmowych komputerów pod kątem tego malware’u ujawniło kolejne ofiary. Następnie zespół bezpieczeństwa Facebooka przekierował ruch do C&C z którego korzystał malware na swoje maszyny i na tej podstawie udało mu się “zrozumieć” atak oraz odkryć, że poszkodowane są także inne firmy. Facebook je powiadomił (choć nie udziela informacji o kogo chodzi) i przekazał sprawę FBI.

Facebook twierdzi, że żadne dane użytkowników nie zostały wykradzione. Atakujący mieli wyłącznie wejść w posiadanie “typowych informacji znajdujących się na komputerze inżyniera” oraz przechwycić część kodu źródowego Facebooka oraz firmową pocztę.

Jak bronić się przed skierowanymi atakami 0day

Ten incydent pokazuje, że istnieją grupy włamywaczy, które wykorzystują exploity 0day w atakach “skierowanych” w konkretne typy ofiar — tu developerów aplikacji mobilnych. I choć przed dziurami “0day” nie da się ochronić, to warto rozważyć minimalizowanie tzw. powierzchni ataku — czyli krótko mówiąc — wyłączenie tego oprogramowania, które nie jest niezbędne do pracy.

W kontekście przeglądarki internetowej, która dziś jest jednym z podstawowych narzędzi na każdym komputerze, zasadę minimalizacji powierzchni ataku należy rozumieć jako całkowite wyłączenie w przeglądarce dodatkowych pluginów (nie tylko Javy ale także Flasha) lub skonfigurowanie ich w trybie click-to-play. Należy także rozważyć zainstalowanie rozszerzenia typu NoScript (dla Firefoksa) lub ScriptsNo dla Google Chrome.

O ile te działania nie są w stanie w 100% wykluczyć ataków, to na pewno sprawią, że będą one trudniejsze do przeprowadzenia.

Przeczytaj także:

• Facebook.com “połowicznie” zhackowany przez Syryjczyków
• 0day na Javę — zanotowano pierwszy atak
• * Buffer zhackowany, spam pojawił się na Twitterach i Facebookach użytkowników