Fake: Choose your own Facebook colors

Immer wieder wird von Betrügern der Wunsch, der Facebook-Nutzer nach Individualität ausgenutzt. Aktuell verbreiten sich wieder Links die es einem ermöglichen sollen die Farben von Facebook zu verändern.

„Yay! finally I can Change my Facebook colour to any desired colour that I want to! check this out @ >> LINK“ lautet die Aufforderung die die eigenen Freunde posten. Ob und was an dieser Botschaft dran ist das erfahrt ihr hier.

„damn, it really works!!“ – auch wenn unser Freund das scheinbar verspricht, tut es das natürlich nicht. Er selbst ist Opfer dieses Betruges geworden und verteilt aus Unwissenheit diesen Spam.

Was also ist unserem Freund passiert?

Nachdem unser Freund wahrscheinlich den gleichen oder einen ähnlichen Link anklickte musste er auf einer externen Seite ein paar Schritte ausführen um das erhoffte farbige Facebook zu bekommen. Ganz harmlos präsentierte sich ihm erstmal eine Seite die aufgrund ihrer Aufmachung zumindest entfernt an Facebook erinnert. Hier wird nochmals gezeigt wie toll Facebook zum Beispiel in Pink aussehen könnte und der Eindruck erweckt dies sei eine Erfindung von Instagram.

Nach einem Klick auf „Get Started“ öffnete sich im Browser unseres Freundes ein neuer Tab. Hier gilt es als Altersnachweis nun drei Tastenkombinationen zu drücken. Warum ausgerechnet das drücken von Tasten beweisen soll das unser Freund schon 18 ist hinterfragen wir hier lieber nicht.

• CTRL + L
• CTRL + C
• CTRL + W

Was genau ist also passiert als unser Freund diese Tasten drückte?
Der Cursor sprang in die Adressleiste des Browsers und markierte deren Inhalt. Mit CTRL + C wurde dieser kopiert und schließlich mit CTRL + W der aktuelle Tab wieder geschlossen.
Nun hatte unser Freund folgendes in der Zwischenablage gespeichert:

(Natürlich haben wir diese Zeile unbrauchbar gemacht)
In diesem wirren Code befindet sich ein sehr wichtiger Abschnitt, das sogenannte access_token. Ein Access Token kann man sich vorstellen wie ein Schlüssel und zwar der Schlüssel zum Profil unseres Freundes. Wird dieser Schlüssel zusammen mit einer Anweisung an Facebook übertragen dann denken die Mechanismen hinter Facebook das diese Anweisung von unserem Freund genehmigt wurde. (Vorsicht Seitenadministratoren! Seid ihr gerade als Seite eingeloggt kann es sein das ihr auch im Namen der Seite diesen Spam postet.)

Nun muss dieser Schlüssel also noch in des passende Schloss.

Hier kommt wieder unsere Ausgangsseite ins Spiel. Mittlerweile sieht unser Freund hier die Aufforderung zum Abschluss des „Security Check“, wieder eine Tastenkombination: CTRL + V. Mit dieser Kombination fügt unser Freund nun die im Zwischenspeicher wartende Code-Zeile wieder in die Adressleiste ein und bestätigt sie.

Und hier beginnt die Spam Aktion zu laufen.
Unser Freund nutz plötzlich die Facebook App Instagram und lädt über diese ein paar mal ein Foto hoch. Er kommentiert diese Fotos und fügt Markierungen von allen „greifbaren“ Freunden hinzu. Abschließend postet er zwei bis drei mal den Köder-Link. Und während dies geschieht wird er gebeten eine Browsererweiterung zu installieren.

Trotz mehrmaliger Versuche (ab und an gibt es neue Kommentare und Bilder) bleibt Facebook aber auf Teufel komm raus blau. Welchen Zweck erfüllt also wohl die Browsererweiterung? Wir haben uns diese nun nicht genauer angeschaut, was aber schon bei der Installation klar war, diese Erweiterung hat Zugriff auf alle im Browser angezeigten Inhalte. Ein offenes Tor durch das die Daten unseres Freundes sonstwo landen könnten.

Siehe auch:
https://www.mimikama.org/allgemein/fake-my-top-profile-viewer/