Konie trojańskie na Facebooku
Roger Thompson ze specjalizującej się w produkcji programów antywirusowych firmy AVG ostrzega przed aplikacjami w Facebooku, które celowo wykorzystują lukę w Adobe Readerze, aby instalować scareware. Wydaje się, że podmioty oferujące takie aplikacje same stały się ofiarą ataku.
Z pierwszych ustaleń wynika, że atak przeprowadzany jest ze strony z aplikacjami dla Facebooka, zawierającymi osadzone ramki Iframes, które pobierają złośliwy kod z coraz to nowych serwerów.
Jeśli użytkownik ma w systemie przestarzałą wersję czytnika Adobe Reader, kod infekuje komputer programem podającym się za narzędzie zabezpieczające. Ten z kolei ostrzega o fikcyjnych problemach z zabezpieczeniami, z powodu których należy kupić pełną wersję programu.
Na razie nie wiadomo jeszcze w jaki sposób zainfekowane zostały strony z aplikacjami. Według Thompsona problem dotyczy następujących programów:
- City Fire Department
- MyGirlySpace
- Ferrarifone
- Mashpro
- Mynameis
- Pass-it-on
- Fillinthe
- Aquariumlife
Takie aplikacje, cieszące się coraz większą popularnością w sieciach społecznościowych, powinny budzić wątpliwości także z innych powodów. Aby udzielić odpowiedzi na niecierpiące zwłoki pytanie "Którą z postaci w Simpsonach jesteś?", aplikacje proszą najpierw użytkownika o zezwolenie na dostęp do jego konta. Jeśli użytkownik na to pozwoli, mają one wgląd we wszystkie dane zgromadzone przez użytkownika, a więc jawne staje się jego imię, nazwisko, adres e-mailowy i tak dalej.
Jako że zarządzanie uprawnieniami Facebooka i spółki nie przewiduje jakiegokolwiek ograniczenia tego stanu rzeczy, złośliwe aplikacje mogą w cudzym imieniu wysyłać także wiadomości albo wykradać prywatne dane wszystkich przyjaciół, którzy zaufali konkretnej osobie jedynie z tego powodu, że naprawdę dobrze ją znają. Taki wgląd w dane zwykle nie jest ograniczony czasowo; każda gra lub quiz, który chociaż raz pojawi się na liście zaakceptowanych programów, pozostaną tam, dopóki użytkownik sam ich nie usunie.
Jako że aplikacja działa na jakimś zewnętrznym, często znajdującym się w innym kraju serwerze (i wtedy może występować w imieniu użytkownika posługując się jego kontem na Twitterze i Facebooku), właściciel konta nie jest w stanie sprawdzać, jakie dane są tak naprawdę pobierane przez program. A warunki użytkowania serwisów na razie nie oferują praktycznie żadnej ochrony przed skutkami nadużycia zaufania użytkowników.
Tę problematykę ilustruje dobrze quiz What Do Quizzes Really Know About You? - gra trafia do przekonania, ale na razie jest niestety tylko w wersji angielskiej. Być może nadszedł dobry moment na to, aby zrobić porządki w ustawieniach aplikacji Facebooka?
