Websense/ truffe Facebook Xmas: ragazze, sconti e hijack DNS account

Metodologie di spam su Facebook avviate dai criminali informatici che vogliono realizzare un profitto per attirare clienti a siti Web di marketing per affiliazione sono rimasti in giro per molto tempo. Tuttavia, secondo gli esperti di Websense, leader globale nelle soluzioni per la sicurezza, i truffatori stanno arrivando con nuove tecniche per garantire il successo delle loro operazioni. Nelle più recenti truffe su Facebook a tema natalizio, rilevate nelle ultime ore, le vittime vengono attirate mediante messaggi pubblicitari di alcuni video di belle ragazze.

Con la stagione dello shopping natalizio, sembra che i cyber criminali stanno cercando di attrarre i clienti sui loro siti Web attraverso la nota tattica del piggybacking sulla reputazione di trademark famosi come Wal-Mart, Asda, Visa, Best Buy, Apple, e altro ancora. In questo schema di attacco sembra che gli account di utenti appartenenti al servizio DNS libero freedns.afraid.org siano stati compromessi e utilizzati come parte dell'infrastruttura scam dai criminali informatici.  Ecco alcuni esempi di come potrebbero apparire in un feed di notizie Facebook:

La truffa nel news feed di Facebook

La truffa in apparenza è variabile, è consapevole della geolocalizzazione dell'utente, e serve i contenuti in base alla posizione della vittima. Le potenziali vittime sono allettati con video e buoni spesa gratuiti. I post sono intitolati  come qualcosa del tipo "[OMG] Questo video era sulle NEWS", "Indovina di quale celebrità si tratta", o "E' stata aggredita seriamente". Quando gli internauti fanno clic sui link,  vengono rimandati ad una falsa pagina di Facebook che promette un "Fail Blog Daily Video". Una tecnica clickjacking è impiegata sulla pagina in modo che quando la vittima clicca sul tasto play del video, il risultato è il seguente:

In questa pagina, il pulsante di attivazione della finestra video nasconde uno script dannoso che innesca sia un "Mi piace" - al fine di diffondere la truffa -, oppure reindirizza ulteriori vittime a un'altra falsa pagina video (cliccare qui) che utilizza il metodo di pubblicità Cost Per Action per sbloccare un presunto video YouTube. Questa non è la fine, però. La pagina ha anche un meccanismo di timeout. Se la vittima non clicca per riprodurre il video si viene salutati con un messaggio "Buon Natale!" e viene reindirizzata a una finta pagina di Facebook che offre alcuni falsi buoni. Nell'esempio riportato di seguito, sono offerti alcuni buoni falsi Asda:

Come già detto, la truffa è disponibile in molte varianti e con piggyback sulla reputazione di molti noti brand. La pagina di buono falso Asda impone alla vittima dei passaggi per diffondere truffa. In primo luogo, al fine di ottenere il voucher gratuito la vittima deve condividere il voucher nel suo profilo di Facebook. In secondo luogo, la vittima deve pubblicare il commento "Grazie Asda!" per sostenere la truffa. Infine, l'utente deve fare clic sul pulsante Like, che è un collegamento truffa. 

Dopo che la vittima ha completato i passi, il suo news feed di Facebook include la truffa con falso voucher e gli utenti vengono reindirizzati a un sito Web legittimo a new.activeyou.co.uk che fornisce dei premi e sostiene un programma di affiliazione. Il suo sistema di funzionamento è che ogni utente indirizzato verso il sito - grazie ad una sicura affiliazione - partecipando, fa guadagnare i soldi come affiliato, ma in realtà non c'è alcun buono gratuito. L'affiliato si impegna qui ovviamente in metodi illegali per pubblicizzare e generare traffico verso un sito Web che lo fà guadagnare.

L'ID dell'affiliato si vede in questa immagine, segnato in rosso l'URL in cui si afferma che è affidabile. Questi servizi non sono illegali, ma i truffatori si affidano ai post su Facebook per attirare più utenti possibili con i loro ID di affiliazione. Websense  partnership con Facebook mette in guardia gli utenti e invita ad aiutare Facebook nel mitigare queste truffe utilizzando la tecnologia ACE™ (Websense Advanced Classification Engine). Gli esperti di Websense hanno visto un picco nel loro feed di dati e un numero piuttosto elevato di URL che vengono utilizzati a scopi di truffa e che hanno una relazione tra di loro.

Noi pensiamo che Facebook stia facendo un buon lavoro di pulizia e rimozione di post relativi a queste tipologie di truffe, grazie all'efficienza del suo sistema antispam sulla piattaforma. Ma Websense ha scoperto più di 3.000 URL univoci utilizzati per questa truffa su Facebook. La variazione alta viene utilizzata dai criminali informatici per assicurare la persistenza e la ridondanza nel caso in cui alcuni URL o domini vengono inclusi nella blacklist. Come spiegano i Websense Security Labs, freedns.afraid.org è un servizio gratuito che offre ai proprietari di domini servizi gratuiti DNS.

Ad esempio, un proprietario del dominio può utilizzare i server DNS di freedns.afraid.org e lì indicare l'indirizzo del IP suo sito web. Freedns.afraid.org permette inoltre agli utenti di gestire i servizi gratuiti DNS tramite un account. Esso consente ai titolari degli account di aggiungere sottodomini diversi al loro dominio principale ed eventualmente indicare i nuovi siti web in indirizzi IP diversi. Ad esempio, se John Doe possiede johndoe.com il xxxx indirizzo IP, può andare a freedns.afraid.org, creare un account, e usare i loro server DNS per puntare a loro indirizzo IP del sito web all'indirizzo xxxx.

Oltre a questo, John può facilmente aggiungere record DNS ai sottodomini del suo sito Web principale (johndoe.com) tramite il suo account a freedns.afraid.org. A sua scelta, John può avere quei sottodomini (che in sostanza rappresentano diversi siti web) che puntano a in indirizzi IP diversi. Così, per esempio, John può utilizzare il suo account DNS con freedns.afraid.org per puntare a johnsfriend.johndoe.com yyyy. Fortunatamente, gli esperti dicono che Facebook ha questa campagna sotto controllo e il numero di post truffa è diminuito. Tuttavia, si consiglia agli utenti di evitare questi video e le offerte promozionali da operazioni analoghe che potrebbero essere avviate in qualsiasi momento.