Achtung! Extrem Likejacking

Heute berichten wir über eine extreme Art des Likejacking! Was ist “Likejacking”? Beim Klick auf einen „Gefällt mir“-Button wird ohne weitere Rückfrage o.Ä. eine Statusmeldung auf der Pinnwand des Facebook-Nutzers erzeugt. Facebook-Nutzer berichten uns von einer Statusmeldung in der einige Nutzer (wahrscheinlich Freunde des Opfers) namentlich markiert wurden. Ebenfalls enthalten ist ein Link auf eine externe Seite.

 

Die Meldung sieht in etwa so aus:

Wir haben diesen Link unter Testbedingungen für euch ausprobiert und zeigen euch hier was für eine Attacke dahinter steckt.

Wie erwartet führt uns der Link in der Statusmeldung auf eine externe Seite.
Während wir im Firefox nur eine leere Seite und den Hinweis auf den Download einer Browsererweiterung sehen, bekommen wir im Chrome eine Seite mit türkischem Text.

Wenn wir diesen übersetzen, lesen wir den Hinweis das unser Browser nicht „ausreichend“ ist und wir doch bitte ein Addon installieren sollen.

In beiden Fällen sind wir dem Wunsch natürlich nachgekommen (probiert das nicht ohne Sicherheitsvorkehrungen!)

Die Hinweise:

Im Chrome wurden wir nach klick auf den blauen Button in den Google App Store geleitet um die Browsererweiterung installieren zu können.
Hier haben wir uns ein paar Nutzerbewertungen ins Deutsche übersetzen lassen, diese bestätigen aber auch nur was wir schon vermutet haben.

Ein Blick auf die Details vor der Installation zeigt was dieses Addon alles kann und darf wenn wir es zulassen.

Für den Chrome haben wir an dieser Stelle den Test nicht fortgeführt.

Im Firefox sind wir dafür aber weiter gegangen und haben das Addon installiert:

Wie bei den meisten Addons wurden wir gebeten den Browser neu zu starten.
Gesagt getan öffnet sich der Browser und stellt die bereits geöffnete Facebook Seite mit unserem Testaccount wieder her.

Diese sprang allerdings nach 1 bis 2 Sekunden selbstständig auf eine uns unbekannte Seite.

Auch als wir in einem neuen Browser-Tab versuchten Facebook zu öffnen wurden wir wieder auf eine neue Seite umgeleitet. Dieser Vorgang lässt sich beliebig wiederholen und man landet immer wieder auf neuen Seiten.

Beispiele:

Diese Seiten haben wir uns nicht näher angeschaut (da reichen unsere Sprachkenntnisse nicht aus). Aber das hier etwas nicht mit rechten Dingen zugeht ist klar.

Wir deinstallierten also das Addon und schauten uns mal auf unserem FB Profil um.

Hier trauten wir kaum unseren Augen als wir das Aktivitätsprotokoll öffneten.

Sage und schreibe 63 (in Worten: DREIUNDSECHZIG) neue Aktivitäten.

Darunter einige abonnierte Listen und überwiegend türkische Fanpages.

Also Vorsicht wenn ihr die o.a. Statusmeldung seht.