Check Point: scoperta e riparata vulnerabilità nella chat di Facebook

Check Point ha rivelato i dettagli su una vulnerabilità trovata in Facebook Messenger, sia nell'applicazione online che in quella mobile. In seguito alla comunicazione responsabile di Check Point, Facebook ha prontamente risolto la vulnerabilità nel sistema di chat utilizzato da più di un miliardo e mezzo di persone. La vulnerabilità, chiamata MaliciousChat, consente a un utente malintenzionato di modificare un thread di conversazione in Facebook Online Chat & Messenger App. Abusando di questa vulnerabilità, sostiene l'azienda specializzata in sicurezza informatica, è possibile modificare o rimuovere qualsiasi messaggio inviato, foto, file, link, e molto altro ancora.

La vulnerabilità è stata completamente resa nota al team di Facebook Security all'inizio di questo mese. Facebook ha risposto immediatamente, e dopo uno sforzo congiunto, la vulnerabilità è stata patchata. Ci sono un paio di potenziali vettori di attacco che abusano di MaliciousChat. Questi schemi potrebbero avere un grave impatto sugli utenti a causa del ruolo vitale di Facebook nelle attività quotidiane in tutto il mondo. Molti utenti si affidano a Facebook per le relative comunicazioni personali e di lavoro, il che rende questo tipo di falla molto attraente per gli attaccanti. Gli utenti malintenzionati possono manipolare la storia dei messaggi come parte di campagne frodi.

Un attore malintenzionato può cambiare la cronologia di una conversazione per rivendicare di aver raggiunto un accordo falsificato con la vittima, o semplicemente cambiare i termini. Gli hacker possono manomettere, alterare o nascondere le informazioni importanti nella comunicazione chat di Facebook che può avere ripercussioni legali. Queste chat, sottolinea CheckPoint, possono essere ammesse come prova in indagini giudiziarie e questa vulnerabilità apre la porta ad un utente malintenzionato per nascondere le prove di un crimine o addirittura incriminare un innocente. La vulnerabilità può essere utilizzata come veicolo di distribuzione malware.

Un utente malintenzionato può cambiare un link legittimo o un file dannoso, e indurre facilmente l'utente ad aprirlo. L'attaccante può utilizzare questo metodo in seguito per aggiornare il link che contiene l'ultimo indirizzo di C & C, e mantenere lo schema di phishing. Ogni messaggio nelle applicazioni chat di Facebook, sia online che mobile, ha un proprio parametro identificativo "message_id". Un utente malintenzionato può memorizzare questa richiesta, che contiene l'identificativo, tramite un proxy, mentre lui lancia il suo tentativo dannoso. Un utente malintenzionato può rivelare il "message_id" inviando la richiesta all'indirizzo: www.facebook.com/ajax/mercury/thread_info.php

Una volta che l'attaccante ha trovato l'ID del messaggio, può modificare il suo contenuto e inviarlo ai server di Facebook. Il contenuto viene modificato senza una notifica push dal PC degli utenti o dispositivo mobile. Messaggio anche veicolo di virus e ransomware. "Sfruttando questa vulnerabilità, i criminali informatici potrebbero cambiare un intero thread di chat senza che la vittima se ne renda conto. Quel che è peggio, l'hacker potrebbe implementare tecniche di automazione per superare continuamente in astuzia le misure di sicurezza della chat con alterazioni a lungo termine", ha dichiarato Oded Vanunu, responsabile del Prodotto Ricerca Vulnerabilità di Check Point.

"Ci complimentiamo con Facebook per una risposta così rapida e in primo luogo per la messa in sicurezza dei suoi utenti", ha aggiunto. Da Facebook è arrivata l'immediata precisazione: "Abbiamo ricevuto più segnalazioni su questo problema con il nostro Bug Bounty program - tra cui una da Check Point, società di sicurezza - e abbiamo fatto un'indagine approfondita", si legge in un comunicato di Menlo Park. "Sulla base della nostra indagine, questo semplice errore di configurazione nell'app di Messenger su Android si è rivelato essere un problema a basso rischio ed è già stato risolto". Per maggiori informazioni sulla vulnerabilità leggere il blogspot di CheckPoint.

Via: Team Lewis