Security Response

Over the last few months we have been trying to look deeper into how Web-based malware gets distributed. A lot has been written about the underground economy and how one can buy exploit kits, such as Blackhole, from underground websites. But once the attacker has bought the exploit kit, how do they infect computers? This blog focuses on a distribution channel that makes use of Traffic Distribution Systems or TDS for short.

How does a TDS work? In a nutshell a TDS vendor buys and sells Web traffic. While this is a very old concept, it has become really popular for exploit delivery over the last few years.

Let’s say you own a website and you want to make money from it. One way you could do that is by having various interesting and contextual links on your page. When a visitor clicks one of these links, the click is redirected to a TDS vendor. Essentially you are selling the click on your website to this TDS vendor, who in turn sells this click or traffic to the...

サードパーティ（主に広告主）が、意図せずにプロフィール、写真、チャットなどの Facebook ユーザーのアカウントにアクセスし、メッセージを投稿したり、ユーザーの個人情報を取得したりできるようになっていました。幸いなことに、これらのサードパーティは、この情報にアクセスできることを認識していなかったようです。この問題は Facebook に報告され、問題を排除するための是正措置がとられました。

Facebook アプリケーションは、Facebook プラットフォームに統合された Web アプリケーションです。Facebook によれば、毎日 2,000 万本の Facebook アプリケーションがインストールされています。

シマンテックでは、特定のケースで Facebook IFRAME アプリケーションから広告主や分析プラットフォームなどのサードパーティに、アクセストークンが意図せず漏洩することに気付きました。このような漏洩が可能になるアプリケーションは 2011 年 4 月時点で、100,000 本近くに上ると推測されます。長年にわたって、数十万本のアプリケーションによって、数百万件のアクセストークンが意図せずサードパーティに漏洩していたであろうと推測されます。

アクセストークンは、ユーザーが Facebook アプリケーションに渡す「合鍵」に当たります。アプリケーションでは、このトークン（鍵）を使用して、ユーザーに代わって特定の操作を実行したり、ユーザーのプロフィールにアクセスしたりします。各トークン（合鍵）には、ウォールの読み取り、友達のプロフィールへのアクセス、ウォールへの投稿など、選択した一定の許可が関連付けられます。

このような許可の一部を図 1 に示します。

図 1

アプリケーションをインストールする場合、ユーザーは、これらの操作を実行するための許可をアプリケーションに与えるよう要求されます。これらの許可を与えると、アプリケーションは、図 2 に示すようなアクセストークンを取得します。

...

Even before a user accepts the installation of a Facebook application, Facebook will send a limited amount of user data to the application’s website in order to help personalize your experience. Unfortunately, this user data includes information that users may not want to share without consent.

Facebook uses OAUTH2.0 as an authentication mechanism for its applications. When a user visits an iframe-based Facebook application (apps.facebook.com/yourapp) prior to installation, a POST request is sent to the third-party website hosting the application with the following data:

The ‘age object’ does not provide access to the specific age of the user, but it does provide a specific bracket. Three brackets are provided:

    13-17 (minage-13 or minage-13 and maxage-17)
    18-21 (minage-18)...

If a hacker managed to hack into your blog or website, what could they possibly do? They could insert malicious iframes or JavaScript code into your Web pages. Probably even attempt to steal some data. But most likely they would "search engine optimize" your website. Can this be true? Well, let me explain more.

Search engine optimization (SEO) is a collection of techniques used to achieve higher search rankings for a given website. "Black hat SEO" is the method of using unethical SEO techniques in order to obtain a higher search ranking. These techniques include things like keyword stuffing, cloaking, and link farming, which are used to "game" the search engine algorithms.

So what does a hacker gain from all this? Why would a hacker help you achieve a higher search engine ranking? Quite the contrary; he is helping himself.

What the hacker actually does is add numerous additional Web pages to your website. Let’s call each of...