Android同源政策漏洞攻擊,未經同意幫你在Facebook按讚,加朋友,加入粉絲頁…

趨勢科技在幾個月前討論過Android同源政策(Same Origin Policy)漏洞,我們後來發現它比預想中還要更廣泛地出現。現在,在趨勢科技和Facebook合作下,發現有攻擊在積極地利用此一漏洞,我們相信其所使用的程式碼是基於公開的Metasploit程式碼

facebook like 臉書 讚

此次攻擊針對Facebook使用者,透過一特定Facebook網頁上的連結來導到惡意網站。此網頁包含混淆處理過的JavaScript程式碼(見圖1),試圖在內部框架中載入一個Facebook網址(如圖2)。使用者只會看到空白頁面,因為網頁語法已經透過div標籤來設成不顯示任何東西(圖3),而內部框架的大小僅有一個像素(圖4)。

 

圖1、打開Facebook網頁內的惡意軟體程式碼片段

 

圖2、Facebook網頁的相應內容

圖3、主網頁被設為不可見

 

圖4、內部框架的大小為一個像素

當這些不正常行為進行的同時,同源政策繞過也在執行。從正常雲端儲存服務載入一個遠端JavaScript檔案:

圖5、執行同源政策繞過的JavaScript

上述檔案含此攻擊的惡意程式碼,並讓攻擊者可以在Facebook上進行下列活動:

  1. 加朋友
  2. 按讚和加入 Facebook 粉絲頁
  3. 修改訂閱
  4. 授權Facebook應用程式來存取使用者的公開個人檔案、好友列表、生日資訊,自己和朋友的按讚內容
  5. 竊取受害者的存取權杖(token)並將其上載到伺服器
    https://{BLOCKED}martforchristmas.website/walmart/j/index.php?cid=544fba6ac6988&access_token= $token
  6. 利用正常服務https://whos.{BLOCKED}ung.us/pingjs/來收集分析資料(如受害者位置,HTTP referrer等)

除了在上述網站的程式碼外,我們也在https://www.{BLOCKED}php.com/x/toplu.php發現類似攻擊。我們相信它們來自同一個作者,因為它們共用了幾個函數名稱以及Facebook應用程式的client_id

什麼應用程式被授權?

跟此惡意軟體相關的client_id是「2254487659」。這是BlackBerry所維護的官方BlackBerry應用程式。我們和BlackBerry確認並證實此惡意軟體試圖利用BlackBerry的品牌信任感並竊取使用者存取權杖(token),以用來對Facebook API發出請求,讀取使用者資訊或代表使用者發佈內容到Facebook。BlackBerry發表了以下聲明:

「利用Android SOP漏洞(Android同源政策繞過漏洞)的行動惡意軟體被設計來在各種行動裝置平台上針對Facebook使用者。它也試圖利用我們的 Facebook網頁應用程式以濫用 BlackBerry品牌信任感。BlackBerry 持續地和趨勢科技與 Facebook合作來偵測和消除此種攻擊。請注意,此一問題並非針對BlackBerry的硬體、軟體或網路漏洞攻擊所造成。」

我們在之前的文章裡提到Google已經發表此一漏洞的修復程式。然而,並非所有使用者都能夠更新他們的瀏覽器或Android版本。在手機廠商釋出修復程式前,使用者仍將面臨危險。

 

此次攻擊相關的威脅被趨勢科技偵測為JS_ANDRSOPEXP.AHTML_ANDRSOPEXP.A

 

@原文出處:Facebook Users Targeted By Android Same Origin Policy Exploit作者:Simon Huang(行動安全工程師)

Dr safty 安全達人