Расследование Яндекса: full disclosure о вирусе на Facebook

[L1kvID]

Спасибо!

Кажется, что детали в данном случае важны, ведь коротко о распространении вредоносного расширения уже рассказывали в СМИ.

[krati]

> можно было наблюдать массовое заражение пользователей вирусом
пользователи сами устанавливали себе эти трояны, это не вирус.

[mihmig]

А можно подробнее — что такое SBAPI?

[L1kvID]

SBAPI (Safe Browsing API) — специализированный API, который позволяет получить данные о вредоносных веб-ресурсах известных Яндексу. Подробнее можно почитатать тут.

[mihmig]

Спасибо, ознакамливаюсь. Смутило что данная аббревиатура не находится в поисковой выдаче ни Гугла, ни (!) Яндекса

[sterlingov]

И первая в Яндексе ;)

[megaweber]

А какие объемы распространения были? Есть оценка?

[Sergey6661313]

как мне это нравиться, если вирус, то — «рекламные баннеры с сомнительным содержимым»…
А если это например yandex — «честно распространяемая информация носящая рекламный характер»…

[Zalina]

Кажется, вы сравниваете теплое с мягким. Реклама, которая размещается на Яндексе и в Директе, проходит проверку модераторами и регулируется правилами сервиса и законом. Здесь Волочкова не покажет всё и не отнимет пароль. Вы даже можете запретить Директу учитывать ваши интересы и скрывать объявления, которые вам не нравятся. Можете не сомневаться.

[Anvol]

Мобильные пользователи и пользователи IE перенаправлялись на веб-страницу teladea.blogspot.com, которая содержала видеоролик с пародией на фильм «Пятница, 13-е» и ссылку на сайт Красного Креста.

Я правильно понял, что мобильные пользователи и пользователи IE были проигнорены хакерами?) Или та страница кишит скриптами с metasploit?

[L1kvID]

На teladea.blogspot.com вредоносного кода на тот момент обнаружено не было.

Пользователи IE могли посмотреть на данном ресурсе ролик с YouTube, а пользователям Android показывался рекламный баннер, предлагающий установить мобильное приложение «UC browser for android». Клик по данному баннеру вел через цепочку редиректов на страницу приложения в Google Play.

[Athari]

Докатились. Теперь производители вредоносов игнорируют IE из-за недостаточной популярности. %)

[monolithed]

Второй callback закрывал вкладки, если в их URL содержались подстроки: “chrome://chrome/extensions”, “opera://extensions”, “chrome://extensions/”. Но так как в Chrome с 2012 года уже не поддерживается такая функциональность, он не работал.

Это не правда, в последней версии хрома на тот момент невозможно было перейти в расширения. Для этого приходилось делать сброс настроек браузера.

[L1kvID]

Тут действительно допущена ошибка.
Большое спасибо — поправлю. Вкладки с настройками расширений действительно закрывались.

[aboyev]

Так бот предоставлял доступ к аккаунту Facebook для стороннего приложения с правами рассылать сообщения, публиковать сообщения в ленте, ставить лайки и получать данные о днях рождения.

Разве для рассылки сообщений не требуется дополнительная верификация приложения, в т.ч. личных данных разработчика? Если да, то как в фейсбуке могли такое пропустить…

[L1kvID]

По информации на странице для разработчиков приложения для Facebook проходят процедуру проверки, однако подозрительное приложение, id которого был найден в коде, уже было недоступно на момент анализа. Поэтому сказать что-либо о его функциональности мы не можем.

[L1kvID]

В ходе анализа использовался отладчик и консоль браузера, а также веб-прокси Fiddler.

[vitalets]

А что означает C&C?

[L1kvID]

Под аббревиатурой С&C ( от слова command-and-control ) подразумевается сервер, с которого вредоносное расширение получало входные данные. Можно сказать, что в ходе массового заражения формировалась бот-сеть из браузеров, которую злоумышленники могли контролировать, подгружая жертвам различные скрипты.

[Homakov]

А смысл «исследовать» каждый экстеншн? В чем тут вирус? Фишинг заставляет глупых юзеров его поставить, оно вставляет им рекламу. В чем сенсация то?