Va da sé che più un servizio si diffonde, più diventa boccone prelibato per gli autori di malware, cioè i software malevoli deputati a rubare dati (e soldi) agli utenti. Così il pensiero va subito a Facebook, e magari ai suoi colleghi.
Esistono malware per i social network? Nì. Diciamo che, principalmente, non sono i classici malware che infestano i sistemi operativi. Si sfrutta più l'ingegneria sociale, ossia quell'insieme di tecniche che convincono l'utente a fornire dati sensibili ai truffatori di turno. Il phishing ne è l'esempio più diffuso, ma i social hanno stuzzicato la fantasia dei cattivi del web. L'esempio più recente, risalente a qualche giorno fa, è Facebook Pwn. Si tratta di un piccolo software, gratuito, in grado di sottrarre un sacco di informazioni alla vittima. Funziona in modo semplice, ma letale: chiede l'amicizia agli amici Faxcebook della vittima, in modo da essere credibile. Poi, una volta che il truffatore ne sceglie uno tra quelli recuperati, ne clona a sua volta il profilo e invia una richiesta di amicizia alla vittima. Quest'ultima, spesso, non si chiede come mai sta ricevendo una seconda richiesta da un amico che fa già parte del suo network, così accetta. A quel punto, Facebook Pwn estrapola un mucchio di dati dalla vittima. La raccolta delle informazioni è il primo, fondamentale, passo, quando si sta imbastendo un qualsiasi attacco. Con un nutrito elenco di informazioni personali ci si rende credibili a individui estranei, convincendoli magari a fornire nomi utente e password ai servizi web che utilizzano.
Anche senza spingersi a un dato così prezioso come una password, la creazione di un profilo farlocco - ma credibile - è il mezzo perfetto per convincere un utente a cliccare su un link. E qui sta il principale problema, in fatto di sicurezza, di Facebook. Perché se le minacce, all'interno di un social network, sono tutto sommato sotto controllo, non resta che tentare di portare la vittima FUORI dal servizio. Con un clic che porta a un sito o un contenuto esterno, appunto. Va da sé che un falso profilo, reso credibile da dati estrapolati in vario modo (come con Facebook Pwn), può inserire questo genere di link nella bacheca di un utente e spingerlo al fatidico clic col mouse.
A questo punto si può venire direzionati, per esempio, su una pagina di phishing, oppure su un file contenente un malware vero e proprio. E qui la scelta, per il truffatore, è imbarazzante, perché quasi tutti i malware tradizionali sono utili allo scopo. Ovviamente, ci sono malware creati ad hoc per il social network, in particolare per Facebook. Si tratta di applicazioni non ufficiali che, sempre sfruttando falsi profili, invogliano l'utente all'utilizzo.
Questi sono i principi di base che regolano un po' tutte le minacce dei social network, e andando ad analizzare i vari casi non è difficile risalire proprio a queste tipologie. A Maggio di quest'anno, per esempio, si è diffuso il malware facebook di Bin Laden. In realtà ce ne sono di vari tipi, ma il principale visualizzava, in una sessione di chat Facebook, un link che, in teoria, portava al video dell'uccisione di Bin Laden.
Social engineering puro: sfruttando una vicenda attuale, di forte impatto, si invogliava a visualizzare un filmato che, conoscendo un po' le cronache, NON poteva esistere. Fatto sta che, cliccando sul link, si finiva in un sito che, con un testo convincente (per i meno esperti), invitava a copiare il codice direttamente nella barra degli indirizzi del browser. Si trattava di un Javascript: semplificando, un software in grado di richiamare un altro software, in automatico. Il malware, vero e proprio. Insomma, niente di veramente nuovo, tanto che anche il malware detto Strauss-Kahn, che promette di far vedere il video delle presunte violenze dell'ex direttore generale del FMI, si basa su un principio simile. In questo caso un po' più raffinato: il famigerato link compare con un Mi piace di un amico. Quel tocco di credibilità in più che ha portato al clic migliaia di persone. Il collegamento portava poi a un sito Lituano dal quale si scaricava un trojan, pronto a depredare il computer delle vittime di tutti i loro dati.
Insomma, con qualche semplice espediente, si riconduce il fenomeno dei malware per social network a quelli classici. Tra l'altro con una versatilità senza pari, visto che questi principi sono utilizzabili in buona parte, per dire, anche con Twitter. Di fatto, il grande utilizzo del social engineering li rende delle minacce ancor più pericolose, perché non esiste alcun antivirus al modno in grado di scansionare il cervello umano alla ricerca di bug che portano a cliccare compulsivamente su un link porno. Serve il buon senso, l'esperienza e, perché no, rispettare il sano principio secondo il quale le cose troppo facili e troppo gratis rischiano di essere troppo pericolose.
Nessun commento:
Posta un commento