Κακόβουλο μήνυμα spam στο facebook

[Epirotes]

Αν λάβετε μήνυμα από φίλο στο facebook με περιεχόμενο:
"OMG this girl killed herself after her father posted this on her wall" κι ένα σύνδεσμο (short url) μην κάνετε κλικ είναι κακόβουλο μήνυμα.
http://nakedsecurity.sophos.com/2010/09 ... book-scam/

[Fedil]

Πως ειναι ιος ενα link και μαλιστα οταν εισαι σε linux; Τι μπορει να συμβει σε καποιον που ανοιγει αυτο το Link και εχει λειτουργικο linux;

[Atlantios]

Ποτέ δεν ξέρεις...
Για να μας προειδοποιεί ο Epirotes με 2341 μνμ και ταυτόχρονα συντονιστής κάποιος λόγος θα υπάρχει.

Αν και εμένα με τρώει να ανοίξω αυτό το link, τι σου κάνει η περιέργεια
χαχα

Αστειεύομαι, το linux δεν έχει τπτ να φοβηθεί.

Φιλικά
Αντώνης

[xrdim]

Μπορει να εχει σχεση με εναν παλαιοτερο (παλι μεσω facebook) που σε οδηγουσε σε μια ψευτικη σελιδα youtube και αν ησουν απροσεκτος εκανες αποδοχη για java. Ενα σχετικο λινκ : http://ubuntuforums.org/showthread.php?t=1609429

[Epirotes]

Πατώντας τον σύνδεσμο ανοίγει μια σελίδα που ζητάει να πιστοποιήσεις ότι είσαι άνθρωπος κι όχι bot εισάγοντας κάποια στοιχεία κινητού τηλ. Στην συνέχεια ακόμα κι αν δεν κάνεις κλικ σε κάποιο σύνδεσμο για την εισαγωγή στοιχείων το μήνυμα αυτό μεταδίδεται με αποστολέα πλέον εσένα σ' όσους φίλους σου τυχαίνει να είναι online εκείνη την στιγμή (αυτό τουλάχιστον υποθέτω). Ναι μεν, το πιο πιθανό είναι στο linux να μην μπορεί να κάνει ζημιά πέραν της αναμετάδοσης, αλλά αρκετοί εδώ έχουν και παράθυρα του Μπιλάκου παράλληλα κι αν τύχει να είσαι σ' αυτά και ανοίξεις την σελίδα μπορεί να γίνει ζημιά.

[simosx]

Αν λάβετε μήνυμα από φίλο στο facebook με περιεχόμενο:
"OMG this girl killed herself after her father posted this on her wall" κι ένα σύνδεσμο (short url) μην κάνετε κλικ είναι ιός.
Πηγή: http://neohorikillinis.blogspot.com/201 ... ok_18.html

Η πηγή δε φαίνεται να είναι έγκριτη. Μια αναζήτηση στο διαδίκτυο εμφανίζει και άλλους να διαδίδουν την ιστορία τούτη. Πρέπει να περιμένουμε λίγο για να μπει στο snopes.com.

Εμείς είμαστε χρήστες Linux, οπότε πως αντιμετωπίζουμε τέτοια πράγματα;
Η σελίδα δίνει το σύνδεσμο bit.ly/fXElaL που μπορούμε να τον φορτώσουμε με

Κώδικας: Επιλογή όλων


$ wget bit.ly/fXElaL
--2011-03-19 01:17:45-- http://bit.ly/fXElaL
Resolving bit.ly... 168.143.172.53
Connecting to bit.ly|168.143.172.53|:80... connected.
HTTP request sent, awaiting response... 301 Moved
Location: http://www.delignchm.info/ [following]
--2011-03-19 01:17:45-- http://www.delignchm.info/
Resolving www.delignchm.info... 212.7.194.51
Connecting to www.delignchm.info|212.7.194.51|:80... connected.
HTTP request sent, awaiting response... 302 Found
Location: /dashboard.php [following]
--2011-03-19 01:17:46-- http://www.delignchm.info/dashboard.php
Connecting to www.delignchm.info|212.7.194.51|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 223 [text/html]
Saving to: `fXElaL'

100%[======================================>] 223 --.-K/s in 0s

2011-03-19 01:17:55 (10.7 MB/s) - `fXElaL' saved [223/223]
$ _

Ο εξυπηρετητής Web μπορεί να ανιχνεύει ότι δεν τρέχουμε IE οπότε να δίνει μια τυπική σελίδα. Μπορούμε με αλλαγή του User-Agent να δοκιμάσουμε παραλλαγές, ώστε να νομίζουν ότι τρέχουμε π.χ. IE 6.0 (γεμάτος τρύπες). Το δοκίμασα και είδα ότι είναι το ίδιο αποτέλεσμα.

Το αποτέλεσμα είναι

Κώδικας: Επιλογή όλων


<script type='text/javascript'>top.location.href = 'https://www.facebook.com/login.php?cancel_url=main.php&display=page&fbconnect=1&next=dashboard.php&return_session=1&session_version=3&v=1.0&req_perms=xmpp_login';</script>

Δείχνει να καλεί το facebook.com και θέτει παραμέτρους της κλήσης σε παράξενες τιμές, «main.php» και «dashboard.php». Αυτό φαίνεται να είναι κάτι σαν cross-site scripting πρόβλημα. Τι έχει το main.php;

Κώδικας: Επιλογή όλων

wget http://www.delignchm.info/main.php


Το αρχείο κάνει αναφορά σε «whos.php». Τι έχει το whos.php;

Κώδικας: Επιλογή όλων


<script type="text/javascript" src="http://widgets.amung.us/small.js"></script><script type="text/javascript">WAU_small('to5tdi0lkj7g')</script>

Και εκείνο το small.js; Είναι μέρος της υπηρεσίας http://whos.amung.us./ για στατιστικά επίσκεψης.

Ξέρουμε τι κάνει η σελίδα bit.ly/fXElaL; Από τα παραπάνω βλέπουμε ότι κάνει πράγματα που δε χρειάζεται να γίνονται και προσπαθεί να εκμεταλλευτεί το Facebook με κάποιο τρόπο.
Καλεί κώδικα σε PHP που μπορεί να ανιχνεύει τι λογισμικό έχεις, οπότε αν δε βεβαιωθεί ότι είσαι χρήστης Windows, τότε να δίνει διαφορετικό αποτέλεσμα.
Αν έχετε πραγματική όρεξη να ψάξετε το θέμα, τότε μπορείτε να αναλύσετε παραπέρα, π.χ. μέσω VirtualBox, κτλ.

[Epirotes]

Τελικά, βιάστηκα χθες και δεν το ερεύνησα καλά. Πρόκειται για κακόβουλο μήνυμα spam που χρησιμοποιούν διάφοροι για διάφορους σκοπούς, όπως phishing κλπ.
Ως εκ τούτου επεξεργάστηκα το αρχικό μήνυμα και περισσότερες λεπτομέρειες υπάρχουν εδώ: http://nakedsecurity.sophos.com/2010/09 ... book-scam/