מתקפה חדשה לגניבת חשבונות פייסבוק באנדרואיד – כך תיזהרו

חברת האבטחה Zimperium פרסמה פרטים על אודות מתקפה חדשה שנועדה לגניבת סשנים של התחברות לחשבונות פייסבוק.

המתקפה עובדת כך:

• המשתמש מוריד אפליקציה זדונית מחנות האפליקציות.
• האפליקציה מציעה למשתמש קופונים, כמו למשל קופון לנטפליקס. עיצוב הקופונים נראה לגיטימי ומושך.
• המשתמש מתקדם למימוש הקופון, ומופיע לו עמוד כניסה לגיטימי של פייסבוק.
• המשתמש מכניס את פרטי הכניסה שלו לפייסבוק, והסשן שלו מול פייסבוק נגנב על ידי האפליקציה הזדונית.
• האפליקציה עושה שימוש בחשבון הפייסבוק שנפרץ לצורך הפצת ספאם, נוזקות ועוד.

מי נפגע מהמתקפה?

על פי הפרסום של Zimperium, מעל 10,000 משתמשים ברחבי העולם נפגעו, בכ-144 מדינות. לא ידוע לנו כעת על נפגעים ישראלים במתקפה.

מה מיוחד במתקפה זו?

מתקפה זו משלבת מספר טכניקות שחשוב להכיר כדי להיזהר מהן בעתיד:

1. הורדת האפליקציות הזדוניות התאפשרה גם מהחנות הרשמית של Google Play (בזמן כתיבת שורות אלה, ניתן להורידן רק דרך חנויות אפליקציות צד ג', והן הוסרו מ-Play).
2. עיצוב הקופונים בתוך האפליקציה היה מושך, ונראה אמין ביותר.
3. עמוד הכניסה לפייסבוק היה לגיטימי, ולא זיוף. התוקפים גנבו את פרטי חשבון הפייסבוק בשיטה שנקראת JavaScript Injection. כתוצאה מכך, להאקרים לא הייתה גישה לסיסמת הפייסבוק, אלא לסשן ההתחברות, מה שאיפשר להם לשלוח הודעות זדוניות לחברים של הנתקפים בפייסבוק.

מה ההאקרים גנבו ומה הם רצו לעשות?

ההאקרים גנבו בין השאר את הפרטים הבאים:

• כתובת מייל.
• מיקום.
• כתובת IP.
• עוגיות וטוקן כניסה לפייסבוק (מה שמאפשר להם לגנוב את סשן ההתחברות לפייסבוק).

אחד היתרונות המשמעותיים במתקפה זו, היא שההאקרים "מדלגים" מעל מנגנון 2-Factor Authentication במידה ויש כזה, מכיוון שהם גונבים סשן התחברות, ולא נכנסים לחשבון עם יוזר והסיסמא.

מעבר להפצת נוזקות דרך סשן הפייסבוק, הפרטים שנגנבו יכולים לשמש את ההאקרים להפצת ספאם וביצוע מתקפות פישינג איכותיות.

נדגיש כי פוטנציאל הנזק עשוי להיות גדול אף יותר, מכיוון שחלק מהנוזקות שמופצות יכולות להיות מסוכנות יותר מהאפליקציה הזדונית המקורית, כגון כופרות.

איך אני יכול להגן על עצמי מפני מתקפות מסוג זה?

• הורידו אפליקציות אך ורק מחנות האפליקציות הרשמית. נכון שזהו לא אמצעי הרמטי (כמו במקרה הנ"ל), אבל בוודאי שיש בחנות האפליקציות הרשמית סינון ובקרה טובים הרבה יותר מבכל חנות אחרת.
• התקינו תוכנת אבטחה איכותית במכשירכם. להשוואה מאתר חיצוני על תוכנות אבטחה לאנדרואיד.
• היזהרו מעמודי לוגין לפייסבוק, גוגל או כל שירות צד ג', שנפתחים באפליקציות אחרות. גם אם לא מדובר בעמוד פיקטיבי לצורך פישינג, הוא עלול להיות זדוני (שימו לב, אין הכוונה למנגנון OAuth איתו מתחברים לאתרים דרך חשבון גוגל או פייסבוק).
• מה שנראה טוב מכדי להיות אמיתי, הוא כנראה הונאה.
• כאשר אתם מורידים אפליקציה, הסתכלו מיהם המפתחים, מהי כמות ההורדות ודירוגה.
• הפעילו את מנגנון Two-Factor Authentication בכל חשבון המאפשר זאת. הוא מספק שכבת הגנה חשובה ביותר, גם אם איננו חסין.
• מן הצד השני – קיבלתם הודעות וקישורים מוזרים מחבר ברשת חברתית? חשדו. העדיפו לשאול אותו באופן אישי במה מדובר לפני שאתם פותחים קובץ או נכנסים ללינק.
• אנו ממליצים לקרוא את המדריך שלנו על טלפונים ניידים למידע נוסף בנושא.

לקריאה נוספת באתר Threatpost.