Niebezpiecznik.pl informował niedawno o kolejnych dziurach w popularnym serwisie społecznościowym Facebook. Poruszony tam został również temat tzw. złośliwych aplikacji, które w irytujący sposób oszukują użytkowników i rozsyłają się w błyskawicznym tempie (np. przy pomocy opcji "lubię to"). Dziś rozpoczęła się jednak nowa fala facebookowego spamu, który, co ciekawe, nie jest oparty na wewnętrznej aplikacji lecz na prostym skrypcie umieszczonym na zewnętrznej stronie internetowej.

"Dziura" znajduje się w facebookowym skrypcie like.php. Przy pomocy prostej ramki pływającej odwołującej się pod adres:

http://www.facebook.com/plugins/like.php?href=http://JAKASTRONAINTERNETOWA.COM

oraz przez zastosowanie javascriptowej biblioteki jQuery możliwe jest uruchomienie opcji "Lubię to" dla dowolnej strony internetowej. jQuery wykorzystywane jest do "zakrycia" podstawowego guzika ładowanego przez like.php jakimś zachęcającym obrazkiem (zazwyczaj zawierającym napis w stylu "KLIKNIJ TUTAJ, BY ZOBACZYĆ WIĘCEJ"). Opcja ta oczywiście zadziała jedynie wtedy, gdy jesteśmy obecnie zalogowani do facebooka (a któż nie korzysta z opcji "nie wylogowuj mnie"?).

Jak to działa? Nasi znajomi widzą nową rzecz, którą lubimy, wchodzą tam, klikają, skrypt działa, ich znajomi to widzą itd... Łańcuszek gotowy.

Przykładowe nazwy rozsyłanych podejrzanych linków to: "The Man with the biggest dick on Earth", "This man took a picture of his face every day for 8 years!!", "366 Days in 40 Seconds - Pretty Amazing!", "In 2006 MindFreak Walked on Water - See Exactly How He Did This Trick! AMAZING!".

Jak się przed tym zabezpieczyć? Prosta zasada: jeśli przechodzicie z facebooka na jakąś stronę internetową, która zachęca was do kliknięcia, to... nie klikajcie ;)

PS. Zauważyłem sporą liczbę wejść na bloga bezpośrednio z googla, gdzie internauci szukają sposobu na usunięcie swojego uwielbienia do gościa z wielkim ptakiem :)
Jak usunąć wszelkie ślady? W bardzo prosty sposób:
1. Wejdź na swój profil (w górnym lewym rogu twoje imię i nazwisko)
2. W zakładce "Tablica" najedź kursorem na odpowiednią pozycję i wybierz znaczek "x" odpowiedzialny za skasowanie wpisu na Tablicy.
3. Przejdź do zakładki "Informacje" i obok "Sympatie i zainteresowania" wybierz "edytuj" - w nowym oknie skasuj odpowiednią pozycję.

Czytaj dalej...

Jedni nadal poszukują źródła wycieku danych, natomiast ja i kolega pokusiliśmy się na małą analizę rozsyłanego spamu. Być może wpis ten rozjaśni niektórym osobom zasadę funkcjonowania tego typu "biznesu".

Na początku przeanalizujmy link, który znajduje się w rozesłanych e-mailach.

http://x.jngtrcka.com/y.z?l=http://supamailt.com/affiliate/referral.asp?aff_id=aff80147:CYFERKI&site=prospl&url=XXXXXXXXX&e=NUMER1&j=NUMER2&t=h&p=2

Pomińmy na razie do kogo należą domeny jngtrcka oraz supamailt. Po odpaleniu tego adresu następuje podwójne przekierowanie i lądujemy na stronie internetowego kasyna Golden Tiger Casino. Krótko mówiąc, jest to zwykły reflink (podstawa programów partnerskich polegających na otrzymywaniu różnych bonusów pieniężnych za zachęcenie pewnej ilości "znajomych" do rejestracji w kasynie). We wszystkich rozsyłanych wiadomościach identyfikator użytkownika kasyna jest taki sam: aff80147. Adresy różnią się jedynie w miejscu, które oznaczyłem NUMER1 - na poziomie wywołania adresu pod domeną supamailt prawdopodobnie zbierane są informacje potwierdzające dane adresata spamu oznaczonego identyfikatorem NUMER1. Podsumowując - spam ma na celu przyciągnięcie ludzi do internetowego kasyna, co wiąże się z zyskiem finansowym dla osoby rozsyłającej.

Wracając do domen. Spammer korzysta z serwisu internetowego Jangomail. Cóż to jest? To nic innego jak "legalne" narzędzie do rozsyłania spamu. Jego zasada działania jest bardzo prosta - podpinasz swoją własną bazę danych z adresami e-mail, płacisz za odpowiednią ilość rozesłanych wiadomości i wysyłasz - zachowując całkowitą anonimowość. Prawdopodobnie serwis udostępnia też różne statystyki, do czego potrzebny jest wyżej wspomniany identyfikator odbiorcy, oznaczony przeze mnie jako NUMER1.

Osoba rozsyłająca spam wcale nie musi być bezpośrednim sprawcą kradzieży. Kradzione bazy danych personalnych są błyskawicznie sprzedawane na czarnym rynku za niemałe pieniądze - nie wiadomo przez ile rąk dane tysięcy Polaków już zdążyły przejść. Niestety danych tych nie da się usunąć z internetu - maszynka poszła w ruch, już nie da się tego zatrzymać. Wszystkie możliwe środki powinny być teraz skierowane na wykrycie źródła wycieku danych.

Martwi mnie to, że pojawia się coraz więcej odbiorców osławionego spamu, którzy zarzekają się, że nigdy nie korzystali z serwisu MoneyBookers (choć nadal użytkownicy tego serwisu stanowią większość wśród poszkodowanych). Całkiem prawdopodobne, że dane wykorzystane przez spammerów pochodzą z różnych źródeł - a w tym przypadku duża afera zaczyna nam się powoli zamieniać w ogromną aferę.

I dlaczego polskie media milczą w tej kwestii, hmm?

Czytaj dalej...

Niebezpiecznik.pl donosi - miał miejsce poważny wyciek danych polskich internautów. W takich chwilach zazwyczaj myślę sobie: cóż, albo ludzie mają proste hasła lub wyciągnięta została baza z jakiegoś mało znaczącego serwisu zawierająca mało wartościowe dane. Problem jednak w tym, że wyciekły pełne dane osobowo-adresowe. Co gorsze - wyciekły również MOJE dane. A znany jestem z tego, że mam pedantyczne podejście do bezpieczeństwa swoich danych.

Polscy internauci od rana otrzymują dziś spam, który w swojej treści zawiera ich prawdziwe (sic!) dane adresowe. Wygląda więc na to, że spamerzy są w posiadaniu bazy danych któregoś z serwisów internetowych, który zbierał od swoich użytkowników zarówno adres e-mail jak i adres zamieszkania — pytanie, o który serwis chodzi?

Spam zawiera informację o rzekomej nagrodzie pieniężnej przyznanej przez kasyno. List, który otrzymałem wygląda następująco:



Internauci natychmiast podjęli próbę ustalenia źródła wycieku danych. Wprawdzie list zawiera logo serwisu Przelewy24.pl, lecz równie dobrze może to być prosta zmyłka w wykonaniu spammerów. Obecnie podejrzenia padają na jeden z najpopularniejszych serwisów pośredniczących w przelewach bezgotówkowych - MoneyBookers. Jest to dla mnie całkiem prawdopodobny winowajca, gdyż w moim przypadku występuje pełna zgodność danych zawartych w otrzymanym spamie, a danymi zamieszczonymi w tym serwisie (ulica bez skrótu "ul.", polskie znaki w imieniu, e-mail). Poszukiwania winowajcy trwają - a żaden serwis łatwo nie przyzna się do takiej gafy, ponieważ może ona wiązać się z wielomilionowymi karami za brak właściwej ochrony danych osobowych.

Mini-poradnik dla poszkodowanych: co robić, jeśli również otrzymałem takiego e-maila?

Po pierwsze - natychmiast sprawdźcie wyciągi kart kredytowych przypisanych do waszego konta w MoneyBookers (lub innym podejrzanym serwisie) i na wszelki wypadek zmieńcie tam hasło (na pewno tęczowe tablice poszły w ruch w celu próby złamania haseł niektórych użytkowników). Skoro wyciekły dane adresowe, to równie dobrze mogły wyciec informacje o waszych kartach kredytowych.
Po drugie - zachowajcie list, którzy otrzymaliście od spammera. Może przydać się w przyszłości jako ewentualny dowód w sprawie.
Po trzecie - NIE KLIKAJCIE w linki, które znajdują się w otrzymanym liście. Wasze kliknięcie zostanie zarejestrowane przez odpowiednie skrypty stworzone przez spammerów, dzięki czemu uzyskają pełne potwierdzenie prawidłowości waszych danych (a przynajmniej będą wiedzieli, że ktoś korzysta z tego adresu e-mail i czyta spam).
Po czwarte - śledźcie informacje dotyczące tej sprawy.

O ile namierzenie osób będących obecnie w posiadaniu wykradzionej bazy graniczy z cudem (rozpracowanie botneta wymaga sporych środków), o tyle źródło wycieku prędzej czy później zostanie ujawnione. Całkiem możliwe, że skieruję wtedy sprawę na drogę sądową.

Czytaj dalej...

W tym poście poruszę kilka spraw, które mógłbym całkiem spokojnie rozbić na trzy osobne wpisy. Niestety z braku laku wyszło jak wyszło...

Na początku chciałbym zaznaczyć ciekawy zwrot w funkcjonowaniu serwisu Youtube, a konkretniej mówiąc: nowy sposób podchodzenia do zamieszczania nieoryginalnych filmików w tym serwisie.
Dawno dawno temu, kiedy Youtube jeszcze do Google nie należało, sprawa wrzucania nieoryginalnych materiałów była rozwiązywana w sposób prosty: zbanowanie konta wrzucacza wraz z poinformowaniem go o przyczynie. Po sławnym przejęciu serwisu przez internetowego giganta polityka pozbywania się nieoryginalnych filmów została zdecydowanie złagodzona: moderatorzy serwisu Youtube blokowali jedynie poszczególne filmy, ostrzegając użytkownika o konsekwencjach zamieszczania takich materiałów oraz dając mu możliwość do udowodnienia swoich racji poprzez bezpośrednią korespondencję z przedstawicielem serwisu.
Wielkie było moje zdziwienie, kiedy kilka dni temu próbując zalogować się na moje konto ujrzałem następującą wiadomość:



Konto otrzymało wiecznego bana. Za co? Ciężko powiedzieć. Owszem, miałem tam dwa krótkie fragmenty anime oraz trzy openingi, ale nie jest to powód do natychmiastowego blokowania całego konta. Niestety razem z filmikami, które mogły zostać uznane za nieoryginalne, wyleciały również moje autorskie filmiki, w tym dwa nagrania z koncertu WOGULE na konwencie B-Con autorstwa Mupeta. Postaram się niedługo odtworzyć te filmiki i wrzucić je jeszcze raz na nowe konto.
Co zarzucam serwisowi Youtube? To, że mimo zmiany polityki traktowania nieoryginalnych nagrań video, zablokowano mi konto bez żadnego ostrzeżenia i bez poinformowania mnie o tym. Niestety, serwis nie daje możliwości odzyskania tych autorskich filmów, które "wyleciały" razem z całym kontem. Baka!



Ostatnio w polskim internecie poruszenie wywołał wpis na blogu Niebezpiecznik.pl, w którym opisano wykorzystywany przez polską policję program COFEE (dlaczego nazwa kojarzy mi się z popularnym na początku tego wieku trojanem CAFEiNi?). Jest to tak naprawdę przyjazny dla użytkownika interfejs służący do zbierania dowodów rzeczowych w komputerze osoby podejrzanej o popełnienie przestępstwa (włamania, kradzieże, posiadanie nielegalnych materiałów) przy wykorzystaniu ogólnodostępnych narzędzi. Dzięki temu policjant za pomocą jednego kliknięcia jest w stanie wyciągnąć z komputera podejrzanego odpowiednie wpisy w rejestrze, pliki, hasła, logi przy wykorzystaniu automatycznie uruchamianych w tle podprogramów i przekształcić je w czytelny dla użytkownika raport.
Można jednak postawić pytanie - czy w czasach, kiedy prawdziwość odczytu tzw. "suszarki" drogówki można obalić poprzez brak certyfikacji baterii, można zaakceptować jako dowód rzeczowy dane binarne zebrane przez niecertyfikowany w żadnym polskim ministerstwie program, który tak naprawdę zajmuje się obrabianiem danych binarnych? Życzę powodzenia policyjnemu informatykowi, który będzie musiał przed sądem (a załóżmy, że sędzia nie ma żadnej wiedzy informatycznej) przedstawić pełną zasadę działania programu i udowodnić prawdziwość oraz niezafałszowanie zebranych danych. Jedynym rozwiązaniem jest chyba zabranie podejrzanemu całego komputera i dopiero wtedy odpalenie programu generującego raport. Ale weź tu teraz szczegółowo udowodnij, że COFEE nie preparuje danych w komputerze... Warto dodać, że COFEE działa tylko pod systemami Windows.

Na zakończenie, wszystkim odwiedzającym mój blog chciałbym życzyć wesołych i rodzinnych świąt Bożego Narodzenia, smacznego karpia:



wymarzonych prezentów:



śniegu za oknem:



i ogólnie wszystkiego najlepszego!
Niech te święta umili Wam "ulepszona" wersja słynnego hitu zespołu Wham! pt. "Last Christmas". Polecam!

Czytaj dalej...

Ciupali, ciupali, aż się dociupali. Po kilku atakach, które doprowadziły co najwyżej do podmiany strony głównej, w końcu przeprowadzono skuteczny włam. Wszystko wskazuje na to, że wyciekła baza danych, w tym tabele zawierające dane użytkowników serwisu. Czy jest się czego bać?

Odpowiedź brzmi: raczej nie. Hasła wyciekły, owszem, ale w formie zahaszowanej. Jedyna możliwa forma "złamania" (czyli odtworzenia prawdziwego hasła na podstawie haszu) to ataki słownikowe (z wykorzystaniem tzw. tęczowych tablic). Problem w tym, że takie łamanie trwa bardzo długo, a przy bardzo skomplikowanych hasłach jest praktycznie niemożliwe. Jeśli korzystasz Bojowniku na wielu stronach internetowych z takiego samego, prostego hasła pokroju: "12345", "dupa", "ala" - czas je zmienić we wszystkich serwisach internetowych, bo prawdopodobieństwo wystąpienia takiego ciągu znaków w słownikach służących do łamania haseł jest bardzo duże. Dłuższe i skomplikowane hasła są bezpieczne, ale profilaktycznie należy je również zmienić.

Hasła, hasłami. A co z resztą danych? Tutaj jest już nieco gorzej. Baza zawierała adresy e-mailowe użytkowników serwisu - taki ogromny zestaw "sprawdzonych" (bo działających!) adresów to łakomy kąsek dla spammerów, którzy chętnie wykupują takie skradzione bazy danych na czarnym rynku. Nowe reklamy viagry, cialisu, tanich rolexów... całkiem możliwe, że Bojownicy JM będą mogli zaobserwować wzmożony odbiór takich wiadomości na swoich skrzynkach (czas ustawić filtry antyspamowe).

I jeszcze jedna sprawa: dane adresowe. Wprawdzie te pola były jedynie opcjonalne i większość Bojowników ich nie wypełniała, to na pewno znalazły się osoby, które pozostawiły tam swoje dane adresowe. Tutaj jedynym zagrożeniem jest sama publikacja tych danych w internecie - sama w sobie nie jest szczególnie niebezpieczna, ale mało osób z zadowoleniem przyjmie wiadomość, że jej pełny adres domowy wisi gdzieś w sieci. Wątpię, by ktokolwiek z zagranicy mógł skorzystać z polskich adresów domowych, a polski "czarny rynek" (jeśli w ogóle jeszcze istnieje) raczej nie jest zainteresowany takimi danymi.

Serwis JM jest w tej chwili wyłączony. Administracja stara się dokładnie sprawdzić przebieg ataku i załatać wszelkie dziury, które do niego doprowadziły. Sam jestem ciekaw jak do tego doszło - pierwsze doniesienia wskazują na błąd portalowego systemu archiwizacji danych.

Czytaj dalej...