Tweet

0

Facebook-programma's veranderen pc's in zombies

Natuurfoto vermomd als DoS-aanval

Facebook-applicaties hoeven lang niet altijd zo onschuldig te zijn als ze lijken. Zo'n toepassing zou uw computer zomaar in een aanvallende zombie-pc kunnen veranderen. Zes onderzoekers, verbonden aan instituten in Griekenland en Singapore, hebben met een proof-of-concept-applicatie aangetoond dat dit mogelijk is. Ze lichten hun bevindingen toe in een document.

De onderzoekers hebben een applicatie ontwikkeld met de naam Foto van de dag. Deze toont iedere dag een nieuwe foto van National Geographic. Maar iedere keer dat een Facebook-gebruiker de foto bekijkt, haalt hij tevens vier verborgen beelden af bij een slachtoffer-host. Deze server moet iedere keer voldoen aan HTTP-verzoeken van 600 Kb.

Kortom: de computer van de Facebook-gebruiker voert als een zombie onbewust denial-of-service-aanvallen uit. Naarmate meer mensen de applicatie installeren, ontstaat langzaam maar zeker een krachtiger botnet.

Ideaal aanvalsplatform
Zo'n botnet zou ook kunnen worden gebruikt voor andere soorten aanvallen, zoals het verspreiden van malware of het scannen van computers op zoek naar open poorten. "Netwerksites hebben de ideale eigenschappen om een aanvalplatform te worden", aldus de onderzoekers.

Ze adviseren Facebook en andere sociale netwerken om ervoor te zorgen dat er weinig interactie is tussen de sociale diensten die zij beheren en de rest van het internet. Dat kan door strikte API's te hanteren en applicaties alleen te laten draaien in een geïsoleerde en beperkte omgeving. Tevens waarschuwen de onderzoekers dat toepassingen op sociale netwerken een privacyrisico vormen, vanwege de toegang die deze applicaties hebben tot de data van gebruikers.

Profielen openbaar
Anderen hebben zich eerder al bezorgd getoond over onveilige applicaties van derde partijen op sociale netwerken, en niet ten onrechte. In juni bleek bijvoorbeeld de toepassing Top Friends privacygevaar op te leveren voor alle gebruikers die de applicatie op hun Facebook-pagina hadden gezet. Delen van hun profielen bleken voor iedereen opvraagbaar te zijn.

Met een bijdrage van Elinor Mills

bron: ZDNet