Massale spamrun op twitter

Zaterdagavond heb ik voor het eerst een dergelijk massale spamrun gezien op Twitter, waarbij er spamtweets vanuit vele niets-vermoedende twitter-accounts werden verstuurd.

Daar je (normaal gezien) je eigen tweets niet naleest, zullen vele gebruikers vandaag zelfs niet door hebben, dat ze gisteren mee spamtweets hebben verstuurd.

2 van de voorbeelden, die ik zag voorbijkomen in mijn timeline.

Nog vele anderen viel het deze morgen op, dus dit was echt wel een massale spamrun.

Is dat door de paaschocolade dat veel mensen in mijn TL plots gehacked werden door dieet-fruit-achtige tweets deze ochtend/nacht?

— Hanne Poppe (@PetiteEglise) April 20, 2014

Zeker twintig man in mijn TL die plots aziatisch fruit beginnen te bejubelen. Paasklokken ontregeld door de opwarming van de aarde of zo?

— Frank De Graeve (@fdgraeve) April 20, 2014

Van veel mensen die ik volg zie ik Engelse berichten over afvallen?! Iemand anders dit ook? #dtv #spam

— Tom Janssen (@TomRJanssen) April 19, 2014

Dr Oz weight loss attack too with various messages pic.twitter.com/xlvpLnl6KG

— Chris Dyson (@ChrisLDyson) April 20, 2014

Heeft dat nu effect zo een spamrun?

Het leuke is dat die spamruns allemaal bit.ly links gebruiken. Als je bij een bit.ly link een plusteken erachter plaatst, krijg je de volledige statistics van deze link.

Het zijn blijkbaar zelfs unieke links per account, daar ik geen dubbele links kan terugvinden.

Zie hier de stats van de link in de spamtweet van @Mariemaitre met 16 clicks vanuit België sinds gisterenavond. Als je dit kan opschalen naar bvb. 10.000 verstuurde spamtweets, dan kan je even 160.000 extra bezoekers op je site veroorzaken via zo een simpele spamrun. Ik denk dat er vele emailspammers kwijlen van deze CTR’s.

Hoe komt het dat ik spam verstuur?

Continu zie ik wel mensen fun-apps volledige toegang tot hun twitter-account geven, waarmee ze dan kunnen berekenen hoeveel hun twitteraccount waard is of wie hun secret twitter-crush is. Dat die onschuldige apps minder onschuldig zijn, dan ze lijken, blijkt wel uit deze spamruns.

Meestal is je account dus niet “gehacked”, maar heb je gewoon zelf aan een foute app toegang gegeven om op je profiel te posten. Ik vermoed dat er wel een handeltje bestaat in dergelijke twitterapps, waarbij het aantal geconnecteerde accounts zorgt voor extra meerwaarde (dringend daar eens wat onderzoek naar doen).

Het is zeer moeilijk om nu te gaan uitvinden welke app (of welke nieuwe eigenaar van een app) juist deze spamrun heeft gedaan. Er bestaan wel lijstjes met de apps, die al zeker spamtweets versturen:

1>> Unfollow Monitor App v1.0
2>> Who Unfollowed You v2.9
3>> Tweet Statistics App v1.0
4>> Unfollow Stats App v1.3
5>> Tweet Info App 1.3
6>> Twit Stats App v1.2
7>> Unfollow Details App v1.1

Update 21 april
Ook in het SEO-wereldje in de VS zijn ze op Twitter hierover bezig. Ze komen tot dezelfde conclusie dat een app met als naam “Twitter for iphone” de schuldige is.

Ok, die spamtweet kwam via 'Twitter for iPhone'. Dan maar heel twitter for iOS geblocked. Stomme #apple brol! 😉 pic.twitter.com/HZk2AAI6eJ

— Maarten Schenk (@mschenk) April 20, 2014

As with the last big 'diet' twitter hack, host domains were all registered today. Presume fake info, but maybe not: pic.twitter.com/7Q7z8w48b8

— dan barker (@danbarker) April 20, 2014

@danbarker @ChrisLDyson I would have authorized it yesterday (pic.twitter.com/laj7M2EQtd) but i'm sure i didn't. + didn't click any weird links

— Daniel Oudenaarden (@DanielOude) April 20, 2014

Update 22/04/2014
Hier hoe dit technisch in zijn werk is gegaan.

Attacker extracts consumer key/secret of Twitter for iPhone, asks Twitter for requests tokens, signs request with extracted keys. #dietspam

— Koen Rouwhorst (@koenrh) April 22, 2014

Trick user to visit evil redirect and authorize known app (e.g. Twitter for iPhone). Twitter sends 'oauth_verifier' to evil callback. Pwned.

— Koen Rouwhorst (@koenrh) April 22, 2014

@swept Idd. Het was een issue in oAuth 1.0, maar is volgens mij opgelost in oAuth 1.0a. Blijkbaar is Twitter's oAuth 1.0a impl. flawed.

— Koen Rouwhorst (@koenrh) April 22, 2014

Hoe voorkom ik dit?

Goede raad dus aan ELKE twittergebruiker om eens naar zijn apps met toegang tot zijn profiel te gaan kijken. Ikzelf krijg er maandelijks een eigen remindermail over om mijn app-instellingen na te kijken.

Weet je dus nog accounts van vrienden, die spamtweets versturen, verwijs ze dan even richting hun app-instellingen ipv. dat ze in paniek rondroepen, dat hun twitteraccount gehacked is.

Je mag er trouwens zeker van zijn, dat die Thunderclap-actie van de N-VA op 24 mei om 9u. eenzelfde effect zal hebben van CTR’s en ook bijhorende frustratie van anderen. 😉