Proponha uma correção, faça uma sugestão
Alerta: Os hackers podem entrar no seu PC pelo Facebook
A rede social mais popular do mundo enfrenta actualmente uma ameaça ao nível da segurança. De acordo com o site WebSegura.net, a rede está vulnerável a uma falha RFD – Reflected File Download – que permite a um utilizador mal intencionado obter controlo do sistema operativo da vítima.
Com este tipo de vulnerabilidade,divulgada por Oren Hafif em Outubro de 2014, um utilizador pode enviar um link malicioso para um domínio confiável [neste caso o Facebook.com] e forçar um download nesse domínio confiável.
Depois de executado, o hacker pode executar qualquer comando do sistema operativo com o nível de permissão actual do utilizador [mais uma razão para que não navegue na web como administrador].
Mohamed Ramadan testou esta falha no Facebook e conseguiu replicar um RFD.
Os testes realizados por Mohamed mostram como é fácil abrir a calculadora do Windows[1], abrir o Paint ou até fechar o browser Chrome e reiniciá-lo com o modo segurança inactivo para roubar os cookies do utilizador.
O autor desta descoberta testou todos estes exemplos no Windows 7 com o Internet Explorer 9, embora refira que também é possível executar com o Firefox, Chrome e Opera.
Vídeo que mostra a vulnerabilidade
Segundo a site do Mohamed, a resposta do Facebook a esta vulnerabilidade foi a seguinte:
Thanks for your report. This is a technique that has been reported before. It’s not fully fixable at present, at least for the general case, but we’re looking into ways to rectify it globally going forward. For now it’s a known risk and not eligible for a bug bounty reward. We do have mechanisms in place to monitor and mitigate abuse.
Via WebSegura.net
Este artigo tem mais de um ano
Loading ...
Para isso é preciso abrir o link…
Você nunca clica em links de notícias que postam no FB?
não!! coisas a evitar, e videos a reproduzir automaticamente tambem!! so abrer com minha autorização
O problema é que grande parte dos utilizadores clicam nesses link’s, não sao todos como tu :s
As noticias veem-se na televisão, não é no facebook… 😛
“Esta é uma técnica que tem sido relatada antes…”. Portanto já conheciam mas “…vão tentar corrigir DAQUI PARA A FRENTE”. E informam o Mohamed,que tire o “cavalinho” da chuva…essa descoberta não dá direito a prémio!! rsrsrsrs
enviar um link malicioso para um domínio confiável [neste caso o Facebook.com] e forçar um download nesse domínio confiável.
ler faz bem .
Qual a novidade?
Já fazem isso há tanto tempo… E daquelas notícias com títulos escandalosos que é só “click bait” e o pessoal cai sempre. Há muitos que sabem que não devem e não clicam. Mas a maioria sabe lá se devem ou não. Depois mais tarde choram.
vai acabar o face ?
já deveria ter acabado
Por exemplo….Volta msn…se ouvesse msn quase n usava facebook xD
E não, não vou usar o skype xD
@Fabio Pisco: isso mesmo! Desde que acabou o Messenger que a única coisa Microsoft que uso é o Windows, e também me recuso a usar o Skype…
Se nao se executar nada acontesse! alem de que porque raio iria executar um bat transferido da net?
Penso o mesmo… mas já vi com cada coisa…
E o mesmo para aqueles telefonemas de indianos manhosos a dizer que sao da “Windows” e que tem que ver o nosso pc..
Isso explica o motivo pelo qual usam essa técnica: ninguém é igual a si.;)
Ao executar aparece o publicador, senao nao exectem !!
executem*
Epah! É só especialistas em segurança aqui! loool!
Vocês esquecem-se que 90% dos utilizadores do facebook são leigos na matéria de informática e não sabem a diferença entre um .bat de um .doc ou outra merda qualquer!
E mais… falam tão bem da segurança no OSX e vê-se aqui no vídeo o gajo a tomar controlo do OSX à distancia usando a mesma vulnerabilidade. É caso para dizer: LOOOOOOOL
Sem querer criar polémica & debates, esta ameaça é também válida para quem usa Ubuntu?
Também uso Ubuntu.
Da mesma forma que foi apresentada no vídeo, penso que seja possível caso o link aponte para qualquer shell script. No entanto, todo e qualquer arquivo baixado, seja um executável ou script, não vem com a permissão de execução por omissão.
Para tanto, seria necessário definir a permissão e depois acionar o script. Mesmo que ainda tudo isso seja feito manualmente pelo usuário, por omissão, a conta padrão do Ubuntu é de um usuário administrativo que só executa comandos críticos se for utilizado o su ou sudo nesse script, e mesmo assim, uma janela estará pedindo a senha, o que eleva a dificuldade em executar o programa malicioso por esse caminho.
Existem técnicas mais sofisticadas que podem facilitar a entrada de malware, porém, essas exploram vulnerabilidades existentes em sistemas desactualizados. Para um utilizador de Ubuntu, creio que raramente alguém deixa de aplicar as a actualziações.
Obrigado pelo esclarecimento!
executar um ficheiro .bat vindo da net? está bem…