O pesquisador de segurança, com o pseudônimo
“Samm0uda”, relatou em 26 de janeiro ao Facebook a
descoberta de uma vulnerabilidade que permitia a um invasor sequestrar a conta de um usuário simplesmente
fazendo com que a vítima clicasse em um link.
De acordo com análise da ESET,
empresa líder em detecção proativa de ameaças, trata-se de uma vulnerabilidade conhecida como falsificação
de solicitação entre sites (CSRF). Esse tipo de brecha força o
navegador da vítima a executar comandos não autorizados através em uma
aplicação web na qual não está autenticada. Nesse caso, o pesquisador descobriu
a falha após identificar um endpoint defeituoso
que poderia ser explorado para evitar a proteção contra-ataques de CSRF e
assumir o controle da conta da vítima.
Conforme o pesquisador destacou em seu blog,
“para que esse ataque seja eficaz, o invasor precisa enganar a vítima para que
clique em um link”. Como
exemplo, entre as possíveis consequências da falha estão: possibilidade de
fazer uma publicação na linha do tempo da vítima, excluir a foto do perfil ou
levar o usuário à eliminação da sua conta; apesar de para esta última ou para
tomar o controle total da conta sejam necessários esforços adicionais.
Embora, em princípio, isso exigisse que a vítima clicasse
em dois links diferentes, a fim de adicionar o endereço de e-mail ou número de
telefone e confirmá-lo em outro, o pesquisador mostrou que era possível assumir
o controle da conta com apenas uma URL ao
identificar os endpoints nos quais o parâmetro “next” esteja presente e
autorizando a um aplicativo malicioso em nome do usuário para obter os tokens de
acesso do Facebook da vítima.
Com o acesso aos tokens de autenticação do usuário, o
exploit adiciona automaticamente umendereço de e-mail
controlado pelo invasor à sua conta, permitindo assumir o controle total
simplesmente ao redefinir a senha e bloquear o usuário legítimo, explicou o
portal TheHackerNews.
Assim como o pesquisador de segurança explicou em seu blog,
o ataque é feito em um piscar de olhos e é
perigoso porque não aponta para um usuário em
particular, mas para qualquer um que
clique no primeiro link.
Além disso, o sequestro de uma conta por um ataque semelhante a esse pode ser evitado caso o
usuário conte com a autenticação de dois fatores, a menos
que o invasor tenha acesso ao código que é enviado para o telefone do usuário
como parte do processo de autenticação.
“Samm0uda” reportou o bug no passado
dia 26 de janeiro e no dia 31 o Facebook realizou a correção. Dias depois, e como parte de
seu programa de bug bounty, a empresa pagou US$ 25 mil ao pesquisador por
reportar a falha.
Para mais
informações acesse o portal de notícias da ESET,
chamado WeLiveSecurity em: https://www.welivesecurity.com/br/2019/02/19/vulnerabilidade-permitia-sequestrar-contas-no-facebook-com-apenas-um-link-malicioso/
Sobre a ESET
Desde
1987, a ESET® desenvolve soluções de segurança que
ajudam mais de 100 milhões de usuários a usar tecnologia com segurança. Seu
portfólio de soluções oferece às empresas e aos consumidores em todo o
mundo um equilíbrio perfeito de desempenho e
proteção proativa. A empresa possui uma rede global de vendas que abrange 180
países e tem escritórios em Bratislava, São Diego, Cingapura, Buenos Aires,
Cidade do México e São Paulo. Para mais informações, visite http://www.eset.com.br/ ou nos siga no LinkedIn, Facebook e Twitter.
Desde
2004, a ESET opera na América Latina, onde
conta com uma equipe de profissionais capacitados a responder às demandas do mercado
local de forma rápida e eficiente, a partir de um Laboratório
de Pesquisa focado na investigação e descoberta proativa de várias ameaças
virtuais.
Copyright © 1992–2017 ESET. Todos os direitos reservados. ESET e NOD32 são marcas registradas
da ESET. Outros nomes são
marca registrada de suas respectivas empresas.
Fonte/Foto-reprodução/divulgação:
Assessoria de Imprensa
Postar um comentário