Automatikusan postol Facebookon a féreg

A digitális 21. század névvel vállalt közösségi terében is megjelennek azok a fenyegetések, ami a „külső Internetnél” már évtizedek óta gondot okoznak. A Facebook biztonsági gárdájának köszönhetően (egyelőre?) nem önti el a szemét és vírusok garmadája a közösségi hálózatot, de még így is be-becsúszik egy online kártevő a rendszerbe.

Például az a nemrég felfedezett fenyegetés, mely cross-site scripting hibát kihasználva titokban arra kényszerítette a mobiltelefonról facebookozókat, hogy meglátogassák profiloldalukat, ahova aztán elhelyezett egy természetesen nem kívánt tartalmú (fertőző) bejegyzést. Az illető ismerősei azonban nem tudták, hogy az adott tartalmat gépi módon töltötték fel, így nagy eséllyel rákattintottak. A Symantec beszámolója szerint üzenetek ezrei kerültek ki a rendszerbe, és hozták kellemetlen helyzetbe a gyanútlan felhasználókat, mielőtt sikerült volna nyakon csípni a kis hamist.

A féreg a Facebook mobil API változatának egy sebezhetőségét használta ki, mely a Javascript elégtelen szűréséből adódott. Ennek következtében minden olyan felhasználó, aki bejelentkezve nézegette a közösségi hálózat oldalait, melyen egy ilyen tartalmú elem volt, azonnal és automatikusan közzétette a fertőző üzenetet saját falán. Semmilyen egyéb felhasználói beavatkozásra nem volt szükség, és olyan trükkök alkalmazására sem, mint a clickjacking. Vagyis hiába óvatos valaki, és van résen minden egyes linkre való kattintás előtt, jelen esetben ez sem segített.

Habár a cross-site scripting támadások nem számítanak újkeletűnek a Facebookon sem, a mostani meglehetősen egyedi próbálkozásnak számít. Olyan kísérletet ugyanis eddig még nem tapasztalhatott senki, melynek során az okostelefonokat vették célba, és teljesen automatikusan történt volna meg a fertőzés. Az eset egyben rávilágít a mobilplatform sebezhetőségére is.