Un Redirect en Facebook para hacer Phishing a Facebook

Iniciado por Stiuvert, Enero 09, 2014, 07:18:45 PM

Tema anterior - Siguiente tema

0 Miembros y 1 Visitante están viendo este tema.

Enero 09, 2014, 07:18:45 PM Ultima modificación: Agosto 09, 2014, 09:49:29 AM por Expermicid
A través de Twitter pude ver un mensaje de Jonathan Funes (No tienes permitido ver los links. Registrarse o Entrar a mi cuenta) que aludía a un No-Bug de Facebook. Es decir, a algo que él consideraba un bug pero que tras haber contactado con el equipo de seguridad de la red social por excelencia, le habían dicho que eso no era un bug, algo similar a lo que le pasó a otro investigador de seguridad con una "característica" que No tienes permitido ver los links. Registrarse o Entrar a mi cuenta.

Como me interesaba el tema le pedí más información, y me pasó una pequeña explicación en vídeo que os paso describir. En este caso se trata de algo bastante sencillo de reproducir, así que puedes probarlo tú mismo con tu cuenta de Facebook. La idea es aprovechar un Open-Redirect de Facebook para hacer un ataque de Phishing bastante convincente a la propia Facebook.

Paso 1: Créate una mensaje privado que solo puedas ver tú con un enlace a cualquier web que quieras usando el enlace al link de redirección que puedes ver en la imagen. Lo único que necesitas es poner la dirección al final de la URL. En este caso, cuando alguien haga clic en ese enlace irá a la página de No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta 

Figura 1: Creando un estado que publique el link de redirección a Google.
El dominio del enlace de publicación aparece como No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
   

Como se puede ver, automáticamente aparece que el dominio al que apunta ese enlace es a No tienes permitido ver los links. Registrarse o Entrar a mi cuenta, pero realmente es un hiperenlace que lleva a No tienes permitido ver los links. Registrarse o Entrar a mi cuenta sin mostrar ningún mensaje de alerta.

Paso 2: Edita el título de la web para poner algo significativo, en este caso yo no me he complicado y he puesto que es un enlace de No tienes permitido ver los links. Registrarse o Entrar a mi cuenta, para que coincida con el dominio de publicación del enlace que Facebook creó antes.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta 

Figura 2: Cambiando el título del enlace publicado 

Paso 3: Borra el enlace original y pon textos sugerentes que inciten a los que lo vean a pulsar sobre él. Aquí llega la parte de ingeniería social necesaria para conseguir el call-to-action de las personas que lo vean.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta 

Figura 3: Poniendo textos sugerentes en la publicación del phishing 

Paso 4: Publica el estado. Como se puede ver, queda bastante aparente y parece que es un enlace a una web de Facebook.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta 

Figura 4: El enlace publicado parece una página de Facebook 


Paso 5: Sin embargo, como se puede ver en el enlace, el hipervínculo es a No tienes permitido ver los links. Registrarse o Entrar a mi cuenta y navegará a esa dirección sin mostrar ninguna alerta.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta 

Figura 5: El enlace llevará a No tienes permitido ver los links. Registrarse o Entrar a mi cuenta sin dar ninguna alerta 

En este ejemplo yo he utilizado un destino que llama mucho la atención, como es No tienes permitido ver los links. Registrarse o Entrar a mi cuenta, pero si alguien quisiera hacer un ataque dirigido a uno de sus seguidores podría elegir un dominio en el que se simulara la página de Facebook y pidiera el usuario y la contraseña de Facebook para robársela.

En el vídeo de la demostración, Jonathan Funes usa un BeeF para infectar con un JavaScript malicioso la sesión del usuario - algo similar a lo que hicimos con la No tienes permitido ver los links. Registrarse o Entrar a mi cuenta -, pero lo más recomendable sería utilizar No tienes permitido ver los links. Registrarse o Entrar a mi cuenta para conseguir un efecto de Phishing perfecto que pudiera ponerse en cualquier dominio o subdominio que pueda engañar a la víctima.

Figura 6: Explotación del Open-Redirection en Facebook

Ten cuidado con estas cosas, porque parece que de momento Facebook no piensa corregir o añadir alguna protección extra a esta característica de compartición de enlaces y uso del Open-Redirect que tienen implementado, así que atento para no caer en esquemas de phishing porque te hayas fiado en el dominio de publicación del enlace.

Saludos Malignos!

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Excelente! Realmente increíble la actitud de estos tipos.

Esperemos que tomen cartas en el asunto y que reconozcan de una vez estos grandes agujeros de seguridad.

Saludos!
WhiZ


Vamos, que la noche es larga y no tengo nada que hacer.
Hora de ejercitar un poco con esto, excelente aporte ;)

Lastima que sale en el ladodelmal y recién le dan bola cuando esto andaba ya desde principios de año U_U

Regards,
Snifer
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Llaman traidor a la persona que evito que caiga el foro, gente bruta!