Xakep #305. Многошаговые SQL-инъекции
Небольшой набор скриптов, которые были запрограммированы выдавать себя за
обычных пользователей, всего за восемь недель смог добыть 250 Гб персональных
данных, принадлежащих пользователям сети Facebook, говорится в докладе, который
будет представлен в следующем месяце.
102 "социальных бота" загружали имя и фотографию выдуманного пользователя
Facebook и использовали программные интерфейсы из
ihearthquotes.com для
того, чтобы автоматически вставлять случайные цитаты в статус. Они также
использовали интерфейсы Facebook для того, чтобы рассылать запросы на дружбу 5
000 случайно выбранным пользователям. Затем они предлагали дружбу друзьям тех,
кто принял их предложение, и с каждым подтверждением запроса дружбы они собирали
любую доступную информацию.
В конце восьминедельного эксперимента исследователи собрали 250 Гб
персональной информации, большая часть которой была доступна лишь ограниченному
списку друзей пользователей.
Защитная система Facebook Immune System, функцией которой являлось
обнаружение поддельных аккаунтов, почти ничего не сделала для того, чтобы
сократить этот массив социальных ботов. Всего 20% этих ботов было заблокировано,
эксперимент был прекращен из-за обратной связи с пользователями, которые
жаловались на спам, сообщили исследователи. Их социальные боты были направлены
на Facebook, но, по словам тех же исследователей, подобные боты могут проникнуть
в любую социальную сеть.
"Поскольку социальные боты проникают в социальные сети, они могут получить
такую личную информацию как адреса электронной почты, а также другие
персональные данные, которые представляют собой хоть какую-то ценность", - в
своем докладе сообщили исследователи Университета Британской Колумбии. Этот
доклад будет представлен в Орландо в следующем месяце на
ежегодной конференции, посвященной безопасности. "Такие данные очень значимы
и могут быть использованы для создания поддельных профилей, осуществления
масштабной рассылки спама и фишинга".
В ходе начальной "загрузочной" фазы эксперимента, социальные боты отправили
запросы дружбы 5 053 случайным образом выбранные пользователям Facebook. Для
защиты от запуска защитных систем, с каждого аккаунта ежедневно отправлялось
только по 25 запросов, это ограничение требовало двух дней для обработки данных.
За две недели 976, или 19% запросов, были приняты.
Остальные шесть недель боты отправляли запросы друзьям тех, кто одобрил
запросы на дружбу. Из 3 517 пользователей второго круга, которые получили
приглашения, 2 079, или 59%, приняли запрос. Если бы эксперимент продолжился,
социальные боты могли бы увеличить эту цифру и до 80, сообщили исследователи.
Такие результаты показывают так называемый "триадический принцип", который
прогнозирует вероятность того, что пользователь социальной сети даст согласие на
дружбу (при условии, что один из его друзей уже "дружит" с тем, кто отправляет
запрос), в три раза выше. Это принцип помог социальным ботам в следующем: они
получили 331 запрос от пользователей Facebook, которые являлись друзьями друзей
этих ботов.
Представитель Facebook отказался комментировать по данному прецеденту.
"Однако, мы всегда напоминает нашим пользователям, что добавлять в друзья
нужно только тех, кого вы знаете и кому доверяете", - написал он в электронном
письме. "Мы используем комбинацию трех систем для отражения атак типа "запрос
дружбы" и сортировщиков поддельных аккаунтов, а также другие техники. Такие
сортировщики блокируют и деактивируют подозрительные запросы дружбы и фейковые
аккаунты, а ограничители в это же самое время делают все, чтобы уменьшить вред,
который может быть нанесен одной из этих атак".
Помимо кражи гигабайтов фотографий, телефонных номеров и других персональных
данных, социальные боты могут быть использованы для создания комментариев, ничем
не отличающихся от тысяч настоящих, являясь на самом деле происком одного
человека. Компьютерный червь Koobface уже использует зараженные аккаунты на
Facebook для того, чтобы подтолкнуть друзей жертвы установить вредоносную
программу на свои компьютеры. Другие социальные боты продаются онлайн за 29
долларов поштучно, сообщают исследователи.
В электронном письме один из исследователей сообщил, что их целью было
улучшение безопасности личных данных в социальных сетях.
Он сказал: "В общем, нашей целью было не разоблачение уязвимостей защитной
системы Facebook как таковой, а помощь данной социальной сети, а также другим
сообществам, в построении более прочных систем безопасности, которые были бы
менее уязвимы как к человеческим (социальная инженерия), так и к техническим
(платформенные взломы) вмешательствам".
