My four boys detest cleaning up. The groans, grunts and comments come thick and fast: “No-one else’s mother makes them clean up like you do”. “I’m sure the UN would consider this illegal – it’s forced child labour”. Well, too bad boys – clean-ups are here to stay!! But with school holidays just a few Read more…
Facebook continues to be a favorite target for attackers to spread fake wall-post messages or fake scams. Most of the time these fake messages are involved in fake scams that ask users to respond to surveys. Recently, I discovered a Facebook wall post with a malicious website address that was unknowingly shared by a friend. Read more…
この数週間に、Google Chrome の拡張機能をインストールするようユーザーを誘う詐欺が Facebook 上でいくつも確認されています。このような詐欺は、あちこちで話題になっているようですが、詐欺師の投稿した写真を削除する方法や、詐欺の拡散を食い止める方法は知られていません。なかには、あきらめて Facebook プロフィールを作り直してしまうユーザーもいますが、そこまでする必要はありません。
万一こうした詐欺に引っかかってしまった場合のために、ブラウザと Facebook のタイムラインを正常な状態に戻す方法をご紹介しておきます。
不正なブラウザ拡張機能を削除する
Facebook Black やプロフィールスパイ（「See Your Profile Viewers（プロフィールを表示した人がわかる）」という名前です）、「無料 PS4」といった Chrome 拡張機能をインストールしてしまった場合には、ブラウザからアンインストールする必要があります。
Google Chrome の［拡張機能］ページを見れば、インストールされている不正な拡張機能を判別できます。上図の例では、「Get PS4」と「See Your Profile Viewers」という拡張機能がインストールされていることがわかります。
不正な拡張機能を削除するには、ごみ箱アイコンをクリックして確定するだけです。
不要な Facebook ページを削除する
問題の Chrome 拡張機能は、ユーザーのプロフィールを使って Facebook ページを作成する場合があります。詐欺 Facebook ページが自分のアカウントで作成されたものかどうかを確認し、削除する必要があります。
上の例でもわかるように、ランダムに作成された Facebook ページが詐欺師によって使われていることが確認されています。詐欺 Facebook ページを完全に削除してしまえば、友達を詐欺師によってタグ付けされるのを防ぐことができます。
ページを削除すると、メインの Facebook プロフィールに戻ります。
詐欺師による投稿を Facebook タイムラインから削除する
詐欺の拡散を続けるために、問題の Chrome 拡張機能は JavaScript ファイルをダウンロードしています。これらのファイルが、友達を写真にタグ付けしてニュースフィードで広めるなど、詐欺師の活動の実行に関与しています。
最後の手順では、不正な拡張機能によってなりすまし投稿された写真を削除して、Facebook のタイムラインを正常な状態に戻します。
詐欺師によって投稿された写真をタイムライン上で削除すると、詐欺の拡散防止につながります。
ところで、タイムライン上に詐欺師が投稿した写真に、自分がタグ付けされている場合もあります。その場合は、詐欺として Facebook に報告してください。
以上の手順で、ブラウザから不正な拡張機能を削除し、Facebook プロフィールのタイムラインを正常な状態に戻して、詐欺師による投稿をスパムとして報告できましたので、友達も同じようにブラウザと Facebook タイムラインを掃除できるように、このブログのことを教えてあげてください。
今後も油断は禁物
以上の正常化の手順は、Google Chrome 拡張機能を悪用して Facebook 上で拡散している詐欺の削除に有効です。しかし、前回も指摘したように、詐欺師は執拗です。手を変え品を変え、同様の行為は続くことでしょう。ソーシャルネットワークでは今後も注意を怠らず、無料商品や特別機能につられてブラウザ拡張機能をインストールすることのないようにしてください。
シマンテック製品をお使いのお客様は、IPS シグネチャ Web Attack: Fake Facebook Application 3 によってこの手の攻撃から保護されています。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
シマンテックは昨年、Facebook で流行している詐欺とスパムについてのホワイトペーパー（英語）を公開しました。ソーシャルネットワーク詐欺では、ユーザーを欺くために、使い古されたワナが再利用されることも少なくありません。無料商品の広告や、ソーシャルネットワークにまだ実装されていない機能の追加などが定番ですが、違う点は、特定のリンクに注目を集める新しい方法が使われていることです。「いいね」機能の悪用でも、ユーザーを誘導してブラウザのアドレスバーにコード（外部の JavaScript ファイル）を貼り付けさせる手口でも、詐欺師は執拗です。
ごく最近も、Facebook Black 詐欺の拡散についてこのブログでご報告したばかりです。この詐欺の拡散が続くなか、シマンテックは古いワナが 2 つ再利用されていることを確認しました。また、エンドユーザーにインストールを促す 2 つの Google Chrome 拡張機能が同一であることも判明しています。
「追加機能」のワナ
ソーシャルネットワークのユーザーは、新規機能の追加を要求することが多く、お気に入りのサイトに機能が実装されるかどうかを気にします。さまざまなソーシャルネットワークで特に要求の多かった機能のひとつに、自分のプロフィールにアクセスした人を知る方法があります。そういった機能が実装されていない場合も多く、それだけに、人気のあるソーシャルネットワークではこれまでに何度も詐欺に利用されています。
図 1. 機能の追加を謳う、写真タグ付けスパム
実際、このワナはソーシャルネットワークで頻繁に見かけるもので、先日お伝えした Facebook Black 詐欺で使われたものと同一です。ユーザーは Facebook ページ上の iFrame を介してリダイレクトされ、Google Chrome の拡張機能をインストールするよう促す Web サイトに誘導されます。
図 2. 新機能を追加すると称するブラウザの拡張機能
この拡張機能をインストールしても何も起こりません。新機能を使えるようにするためにはアンケートに答えるよう促すフォームが表示されるだけで、回答しても、その機能が使えるようになることはありません。アンケートの回答があるたびに、詐欺師の手元に儲けが転がり込むだけです。
図 3. 詐欺アンケート
「無料提供」のワナ
本音を言えば、誰しも「無料」には弱いものですが、ソーシャルネットワークで見かける「無料提供」が実際に無料だったためしはありません。ユーザーが欲しがるのは、きまって最新の商品であり、詐欺師もそれをよく知っています。古いワナが何度でも再利用される理由も、まさにここにあります。
図 4. 無料で商品を提供すると称する Web ページ
たとえば、ソニー社が 2 月に新型ゲーム機「PS4」を発表しました。PS4 が店頭に並ぶのは早くとも今年の年末商戦ですが、詐欺師はすかさず、PS4 のテストに参加すればテスト機をそのまま無料で提供するという煽りでユーザーを欺こうとしています。
図 5. 無料で商品を獲得できると称するブラウザ拡張機能
この詐欺の Web ページでは、PS4 を無料で手に入れるためのクーポン券をもらえると宣伝されています。そんなクーポン券はもちろん存在せず、詐欺師が作成したブラウザ拡張機能があるだけです。
この拡張機能をインストールすると、JavaScript ファイルがユーザーのコンピュータにダウンロードされます。複数の JavaScript ファイルによって、ユーザーの Facebook アカウントでさまざま操作が実行されてしまいます。iFrame を使った Facebook ページを作成したり、写真を投稿してユーザーの友達をタグ付けしたり（最初に挙げた図 1）といった手口です。こうして、この詐欺は拡散していきます。
保護対策
シマンテック製品をお使いのお客様は、IPS シグネチャ Web Attack: Fake Facebook Application 3 によってこの手の攻撃から保護されています。
ソーシャルネットワークで無料を謳う商品を見かけたら、特にそれが人気の高い商品であるほど、十分に注意してください。ソーシャルネットワークで現在利用できない機能があるとしたら、利用できないそれなりの理由があるのです。発行元が検証されていないブラウザ拡張機能はインストールしないようにしてください。無料商品の提供や、未実装の機能の追加を謳ったりしている場合は言うまでもなく、ソーシャルネットワークで盛んに宣伝されている場合には特に疑ってかかりましょう。
Google 社でも、悪質な Chrome 拡張機能は見つけしだい削除しており、マルウェアを含んだ項目を検出する自動システムの改良にも取り組んでいます。
次回のブログでは、こういった詐欺に関連したブラウザ拡張機能を削除する方法について説明し、Facebook のタイムラインから詐欺師の残したスパムをすべて削除する方法について解説します。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
During recent weeks, I have seen different scams on Facebook attempt to convince users to install Google Chrome extensions. I have noticed some conversations taking place around the scams; people not sure how to get rid of the scammer photos or how to prevent the scams from spreading further. Some users have unfortunately gone as far as creating new Facebook profiles for themselves. This is not necessary.
If you have been tricked by one of these scams, here is how you can clean up your browser and Facebook timeline:
Remove bad browser extensions
If you have installed the Chrome extension for Facebook Black, Profile Spy (“See Your Profile Viewers”), or Free PS4, you will need to uninstall it from your browser:
The Google Chrome extension page can help you identify any bad extensions that you have installed. In this preceding example you can see both the “Get PS4” and “See Your Profile Viewers” extensions that have been installed.
To delete a bad browser extension, just click the trash can icon and confirm.
Remove unwanted Facebook pages
The preceding Chrome extensions may be responsible for creating Facebook pages using your profile. Now you should confirm whether or not scammer Facebook pages were created in your account and then remove them:
As you can see in this preceding example, a randomly created Facebook page was found being used by scammers. You can prevent friends from being photo-tagged with scammer spam by permanently deleting these scammer Facebook pages.
After page deletion you should arrive back at your main Facebook profile.
Remove scammer posts from your Facebook timeline
In order to keep the scam in circulation, the previously mentioned Chrome extensions have downloaded JavaScript files. These files were responsible for performing scammer activity, including tagging your friends in photos to promote the scam in news feeds.
The last step is to remove the photos the scam extension has posted on your behalf and get a clean Facebook timeline:
Deleting the photos left by scammers on your timeline helps stop promotion of the scam.
However, in another scenario, you may be the one who is tagged by a scammer photo in a timeline. In that case, you should report the scam to Facebook:
And now that you have removed bad extensions from your browser, cleaned up your Facebook profile timeline, and reported scammer spam, point your friends to this blog post so that they can clean up their own browsers and Facebook timelines.
Don’t forget to stay vigilant
These clean-up instructions will help you remove scams circulating on Facebook that involve Google Chrome extensions. But, as mentioned before, scammers are relentless; they are likely to change their tactics again and again. Proceed with caution on social networks and avoid installing any browser extensions in exchange for free products or special features.
Symantec customers are protected against these types of attacks by our Web Attack: Fake Facebook Application 3 IPS signature.
Last year, we talked about scams and spam circulating on Facebook in our whitepaper. Social networking scammers often reuse common lures to trick users, such as offering free products or additional features that are not available on their network of choice. What these scammers do differently is find new ways to get more eyeballs to view their specific links. Whether it is likejacking or even convincing users to paste code (an external JavaScript file) into the browser address bar, these scammers are relentless.
Just recently, we published a blog about the Facebook Black scam that has been spreading. While that scam continued to spread, we found two old lures being reused, and also two identical Google Chrome extensions being pushed onto the end user.
“Additional feature” lure
Users of social networks have often requested certain features and wondered whether they would ever be implemented on their favorite sites. One of the most commonly requested features across all social networks has been a way to see who has visited one’s profile. This feature has never been available, yet this lure has been used in scams across many of the most popular social networks over the years.
Figure 1. Photo-tagging spam claiming additional feature
In fact, this lure—commonly found on social networks—is identical to the one used in the Facebook Black scam we posted about recently. Users are redirected through an iFrame on a Facebook page and then taken to a website where they are enticed to install a Google Chrome extension.
Figure 2. Browser extension claiming additional feature
Installing the extension does nothing—except present the user with a set of surveys to fill out in order to unlock the additional feature. The feature never gets unlocked. The only thing that happens is the scammers make money off of every survey completed successfully.
Figure 3. Scammer survey
“Get something free” lure
Let’s face it: people like free stuff. But free stuff on social networks is not really free. The newest products are the most valued by users and scammers know this. This is why they continue to reuse this lure.
Figure 4. Web page claiming to get something free
For instance, in February Sony announced their new video game console, PS4. It is not scheduled to arrive in stores until the year-end holiday season. However, that has not stopped scammers from attempting to trick users by offering a free PS4 test unit that they can keep.
Figure 5. Browser extension claiming to get something free
The Web page for this scam claims that users can get a voucher for a free PS4. In reality, there is no voucher. There is just a browser extension created by scammers.
When users install this browser extension, JavaScript files are downloaded onto the user’s computers. These files then perform various actions in the user’s Facebook account, like creating a Facebook page with an iFrame and posting a photo the user’s friends are subsequently tagged in (see previous Figure 1). And this is how the scam spreads.
Protection
Symantec customers are protected against these types of attacks by our Web Attack: Fake Facebook Application 3 IPS signature.
Be cautious when you see offers for free products on social networks, especially products that are highly sought after. Also, if a feature is not currently available on a social network, chances are there is a reason that it is not available. Do not install browser extensions from unverified sources—even if they offer free products or access to an unavailable feature—and be especially suspicious of anything that is promoted aggressively on your social networks.
Google, for their part, removes malicious Chrome extensions as they find them and are improving their automated systems to help them detect items containing malware.
However, in the next post we provide instructions on how to remove these scammer browser extensions yourself, and how to clean up your Facebook timeline from all the spam left by scammers.
Another wave of Facebook phishing is spreading among Facebook users. Imagine you get a message from another Facebook user with a link to a new amazing Facebook app. Even if the sender is not your friend, you decide to go to the link. Instead of an application you see a fake Facebook login page. But […]
Some days my children make me proud and other days, well – let’s just say they give me palpitations! But after 16 years in the job, I have resigned myself to the fact that the big highs and big lows are just part of the parenting rollercoaster ride. But as far as lows go – Read more…
Facebook をお使いであれば、3 月 19 日頃、Facebook Black というアプリについて友達からの投稿が増えたことに気づかれたかもしれません。
図 1. Facebook の写真用プラグイン「Faecbook Black」（タイプミスがあることに注意）
これまでの詐欺と同様、ユーザーがタグ付けされた写真に、外部 Web サイトへのリンクが仕掛けられています。この例では、リンクは説明欄ではなくコメント欄にあります（図 1）。
図 2. iframe によってランディングページにリダイレクトされるが、一瞬だけこのページが表示される
Facebook へのリンクをクリックすると、Facebook ページにリダイレクトされます。リダイレクト先のページには iframe が設定されており（図 2）、何度かのリダイレクトを経て最終的に行き着くページでは Facebook Black のインストールを促されます。
これまでにシマンテックで確認され、Facebook Black のランディングページへ誘導されるサイトの例を以下に示します。
図 3. Facebook Black のページ
次にユーザーは、Google Chrome 拡張機能をインストールするよう誘導されます（図 4）。
図 4. Facebook Black の偽の Chrome 拡張機能
この拡張機能を使い、Amazon の Simple Storage Service（Amazon S3）にホストされている 2 つの JavaScript ファイルがダウンロードされます（図 5）。
図 5. 拡張機能によりさらにファイルがダウンロードされる
これらの JavaScript ファイルは、被害者のアカウントを通じて詐欺を拡散し続けるために使われます。そのために、被害者のアカウントに新しい Facebook ページを作成します。このページに、ユーザーを Facebook Black のランディングページへリダイレクトするページへの iframe が含まれています（図 6 と図 7）。
図 6. ユーザーアカウントに新しいページが追加される
図 7. 新しく作成された Facebook ページに iframe によるリダイレクトが含まれている（［Welcome］タブ）
最終的に、この Facebook 拡張機能をインストールしたユーザーには、一連のアンケート詐欺が表示され（図 8）、詐欺師はここから利益を得ようとしていることがわかります。
図 8. 拡張機能のインストール後に表示されるアンケート詐欺
シマンテック製品をお使いのお客様は、Web Attack: Fake Facebook Application 3 の IPS シグネチャでこの攻撃から保護されています。偽の Chrome 拡張機能は、Trojan Horse として検出されます。
Google は、Chrome 拡張機能のいくつかをすでに削除しており、悪質な拡張機能に対する自動検出をさらに改善するとしています。この詐欺に引っかかってしまったユーザーは、Chrome 拡張機能をアンインストールし、作成された Facebook ページを削除してください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
Yesterday, Facebook users may have noticed an influx of their friends posting about something called Facebook Black.
Figure 1. Facebook photo plugging “Faecbook” Black (notice the typo in this image)
Similar to previous sca…
