Salve a tutti, ritengo che prima di trattare argomenti quali “come rubare le password di Facebook” sia doveroso spiegare “come NON rubare le password di Facebook”.
Facebook é da sempre uno dei principali oggetti di interesse degli hacker e degli utenti in generale. Ma nel tempo é diventato anche uno dei sistemi più sicuri al mondo. Ricordo ancora di 5 o 6 anni fa, quando per spiare Facebook bastava intercettare il traffico di rete in locale.
Ma ora vediamo alcuni esempi di tecniche Errate:

1) Sniffing Semplice

Supponendo di condividere la stessa connessione WiFi e di mettere sotto controllo la stessa tramite la tecnica dell’ARP Spoofing

   Leggi l’articolo sull’ARP Spoofing

La chat Facebook, come del resto il sito stesso di Facebook é protetto dal protocollo HTTPS (Hyper Text Transfer Protocol Secure) vale a dire che la connessione é criptata e l’algoritmo usato é molto Potente (per cosi dire) per cui qualsiasi intercettazione in locale apparirà pressappoco così:

2) Usare il Tool SSL Strip

É un Tool che forza la navigazione da HTTPS ad HTTP, quest’ultimo é un protocollo meno sicuro, che viaggia in chiaro, per cui leggibile. A seguire, nella foto in basso vi mostro un esempio di password intercettata sempre usando la tecnica dell’ARP Spoofing precedentemente descritta:

Come avete potuto osservare la conversazione avvenuta in fase di login é molto chiara. Osservate meglio la differenza tra:

Protocollo HTTP

Protocollo HTTPS

Tale Tool (SSL Strip) funziona solo su quei siti che non “obbligano” la navigazione HTTPS, per cui in fase di navigazione è possibile richiedere il protocollo “meno sicuro” cioè HTTP. Naturalmente Facebook ha adottato contromisure a riguardo, per cui tutti i suoi contenuti, comprese le chat usano una cifratura SSL (SSL, Secure Socket Layer) molto robusta.

3) Usare un Keylogger

Il Keylogger é un software spia che registra le battiture della tastiera. Molti pensano che tale Applicazione possa essere installata da remoto. Ed é vero, ma tenete presente che per installare un keylogger da remoto occorre che la vittima lo  installi nel proprio Device. Vediamo l’azione nel pratico, adesso preparo un keylogger remoto:

Lo invio con un pretesto… A questo punto le problematiche sono le seguenti:

1) l’antivirus lo blocca

2) le attuali politiche di sicurezza allertano la vittima

    
3) la vittima non si fida punto
4) il keylogger non é compatibile con il device
5) tutto può essere….

Insomma, questo tipo di attacco può funzionare, se pensiamo di farlo in larga scala, vale a dire, impostiamo una campagna di marketing per diffondere l’applicazione spia e su un Milione di utenti, 100mila la installano, allora si che siamo riusciti nell’intento…

…Ma pensare di farlo mirato ad un singolo obiettivo, per giunta da remoto é difficilissimo, e solo un professionista specializzato potrebbe cimentarsi in questo, ed il costo potrebbe essere anche bello alto, e l’esito non é sempre garantito… “L’ingegneria sociale non é una scienza esatta”.

Ma allora è Impossibile Spiare Facebook?

Beh… Parleremo ampliamente di questo argomento nei prossimi Articoli

Grazie Per La Lettura!