Spammer usano nuovo trucco per simulare link Facebook legittimi

I truffatori riescono a diffondere il caos su Facebook utilizzando un nuovo trucco per creare link malevoli che appaiono come se fossero parte della normale interfaccia utente del sito web. La truffa è stata descritta dai ricercatori di sicurezza di Sophos e sfrutta i timori degli utenti, chiedendo loro di verificare il proprio account al fine di impedire la ricezione di spam in futuro. “In order to PREVENT SPAM, I ask that you VERIFY YOUR ACCOUNT. Click VERIFY MY ACCOUNT right next to comment below to start the process…” (“Nel prevenire lo spam, ti chiedo di VERIFICARE IL TUO ACCOUNT. Clicca per VERIFICARE IL MIO ACCOUNT accanto al commento qui sotto ed iniziare il processo di verifica…”), si legge nel messaggio di spam. Sotto il messaggio, dove si trovano solitamente il “Like”, “Commenta” e “Condividi” link, c’è un link “== == verificare il mio account” che utilizzano lo stesso stile di quelli legittimi.

Cliccando su di esso esegue il codice da un dominio esterno che provoca la pubblicazione automatica del messaggio sulle loro bacheche. Di solito, però, i link cliccabili nella parte inferiore dei messaggi sulle vostre bacheche - evidenziati in rosa qui sotto - dovrebbero assomigliare a questo:

I truffatori hanno sostituito l’opzione “Condividi” con un collegamento denominato “== == verificare il mio account”. Facendo clic su questo non solo si attiva l’opzione Condividi (senza rendersene conto che si sta premendo), ma invoca anche una serie di JavaScript pesantemente offuscati da un sito nel dominio .Info. Questo sito è stato bloccato dal software di protezione web endpoint di Sophos e altri prodotti web gateway. Con tutti gli imprevisti in corso di condivisione, questo messaggio si è diffuso in maniera virale. Invece di prevenire lo spam, questa particolare campagna spam ha generato dimensioni sorprendenti. La buona notizia è che Facebook sembra aver preso alcune misure per evitare la “Condivisione”, il pulsante sostituito in questi messaggi. Dal momento i messaggi maligni compaiono adesso senza collegamenti, come questo

“Supponiamo che i messaggi che chiedono di verificare il vostro account cliccando su un link sono false. Voi non dovreste (spero) cliccare su link contenuti in email, che affermano di provenire dalla vostra banca cercando di creare panico sul vostro account. Questa sarebbe una classica truffa di phishing utilizzata da un falso sito per rubare il vostro nome utente e la password. Quindi non fidatevi di quella sorta di link su Facebook”, ricorda Paul Ducklin, a capo della tecnologia di Sophos per la regione Asia Pacific. Tuttavia, non tutte le truffe impiegano questo trucco è ovvio questo. Un’altra usa un linguaggio offensivo nei messaggi che pretendono di venire da un’applicazione che si presenta agli utenti con un “Rimuovi questa applicazione” [link].

Facebook sembra aver risolto il problema in qualche misura, come la scomparsa dei collegamenti canaglia da sotto i messaggi. Non è ancora chiaro come i truffatori siano riusciti a tirarli fuori, ma gli attacchi ricordano quelli tipici di un worm XSS. Il codice canaglia è ospitato sul dominio esterno ed è stato copiato e postato su github piuttosto rapidamente per chiunque analizzarlo. Questo potrebbe spiegare perché più varianti di attacco spuntato successivamente.