¿Justin Bieber tiene novio? . Cuidado con las aplicaciones en Twitter

 

Buenas

Hoy les voy a explicar, con un ejemplo práctico, cómo se aprovechan de nuestro desconocimiento y nuestro poco cuidado para a través de las redes sociales hacerse con nuestras cuentas, nuestros datos, infectar nuestros PC´s y demás. El caso que explico ocurre en Twitter y utiliza como cebo vídeos de famosos, enlaces acortados y sobre todo, insisto, nuestro poco cuidado. Lo hago, como siempre, en un intento de no utilizar demasiados tecnicismo y que sea “entendible” para cualquiera. Espero conseguirlo

Vean este tuit que está circulando por Twitter (aunque hay más versiones) e invita a ver un vídeo de un famoso o un vídeo sobre un hecho de actualidad, a modo de cebo. Les pongo un ejemplo con mi propia cuenta que he usado para ilustrar todo esto.

Al hacer clic en él nos llevará a una pantalla donde autorizamos a esta aplicación a acceder a nuestros datos, publicar tuits en nuestro nombre. La trampa está en que Twitpic es un servicio legal y que prácticamente todos conocemos, por tanto no desconfiaremos de el. Pero observen detenidamente el nombre de la aplicación. NO es Twitpic , si no Twitpic Photo Video (Share). Esto ocurre porque cualquiera puede pedir a Twitter que sus usuarios se validen contra sus aplicaciones. Twitter no revisa o controla lo que hace la aplicación, simplemente la autoriza, algo absolutamente inaceptable pero muy común en las redes. Si alguien en Twitter hubiera revisado esto se habría dado cuenta de que se estaba “suplantando” un servicio tan famoso como twitpic. Simplemente no ocurre. Las explicaciones se las piden ustedes a Twitter, claro.

Esta es la original y legal autorización a Twitpic

Esta es la “falsa” y la que intenta captar nuestros datos

¿Lo han visto? Una vez que hagamos clic en la autorización lo primero que hará será lanzar un tuit sin nuestro permiso (recuerden, nosotros les hemos autorizado a eso) en nuestro tl de forma que si algún seguidor nuestro lo sigue podrá ser “infectado” y expandir aún más esto.

Ahora veamos que hace una y otra a través de su código fuente en HTML (el lenguaje en que están escritas las páginas Webs)

La original envía las credenciales a www.twitpic.com , el servicio legal

La falsa envía los datos a otro servidor en una dirección IP 69.193.225.83 , un servidor no localizado en Rusia o Brasil, si no en Nueva York, en USA. Esto lo digo para que vean cómo también las autoridades que se preocupan tanto por nuestra seguridad en las descargas y las webs de enlaces no lo hacen tanto en otras cosas que realmente nos pueden causar muchos problemas. Para más inri este servidor aparece alojado en una red propiedad de la multinacional Warner Bros , otro ejemplo del poco cuidado de las empresas con la seguridad en sus redes

 

Si uno sigue la pista de esta dirección le lleva a una Web llamado tutplus.com que curiosamente se dedican a dar servicios Webs y tutoriales, con más de 23K seguidores en Twitter @tutsplus y que posiblemente no sepan que están usando sus infraestructuras y demás para todo este “juego”.

Si seguimos un poco más allá vemos http://69.194.225.83/~social/twitter/plus/ , el enlace de referencia con una redirección a otra. Una vez más vemos en el código fuente de esta “página” otra referencia con un dominio gratis que posiblemente sea el origen de la “infección” iconcurso.tk3.net que también está expandiendo todo esto en Google + usando como cebo un sorteo de un Iphone.

Cómo ven todo un desastre en seguridad, cuidado y demás, preparado para que caigamos en las redes de estos tipos.

¿Recomendaciones?

1 Revisen las aplicaciones que tienen autorizadas en Twitter y revoquen inmediatamente todas las que no utilicen o les parezcan dudosas o no recuerden.

2 Eliminen, por supuesto, los tuits que hacen referencia a estas cosas

3 Cambien inmediatamente sus claves por contraseñas seguras (que incluyan tanto letras como números y algún signo)

4 No hagan clic en cualquier cosa que vean en las redes, y menos en aquellas que aparezcan con enlaces acortados y cuyo destino no sabemos cuál es

5 Olvídense de si Justin Bieber tiene novio, novia o perro

Espero que toda esta información les sea útil

Saludos