Summary of "Deceptive Previews : A Study of the Link Preview Trustworthiness in Social Platforms"

1. UNIVERSITÀ DEGLI STUDI DI TRIESTE
_________________________________________________________
DIPARTIMENTO DI INGEGNERIA E ARCHITETTURA
Corso di Laurea Triennale in Ingegneria Elettronica e Informatica
Summary of “Deceptive Previews: A Study of the Link
Preview Trustworthiness in Social Platforms”
Laureando: Relatore:
Andrea Gnesda Prof. Alberto BARTOLI
A.A. 2019/2020

2. 1
Le piattaforme di social media
sono diventate un mezzo primario per la
condivisione di contenuti, e le anteprime
dei link hanno un ruolo fondamentale
nelle informazioni fornite agli utenti. Lo
studio di G. Stivala e G. Pellegrino
(2020) analizza l’affidabilità di queste
anteprime, valutando quanto sia possi-
bile nascondere contenuti malevoli mo-
strando anteprime apparentemente affi-
dabili. Si mostra come per 4 piattaforme, tra le 20 prese in esame, sia possibile costruire an-
teprime ingannevoli manipolando il solo codice HTML. Per le restanti 16 un contenuto ma-
levolo può comunque essere nascosto da un attaccante con la capacità di registrare domini.
Vengono infine suggerite 7 proposte per il miglioramento del livello di affidabilità dei conte-
nuti condivisi.
Il 40% del traffico nel 2017 è stato originato da social media (contro il 37% di Google).
Nella maggior parte dei casi, al momento della condivisione di una risorsa viene creata una
anteprima user-friendly, e prove empiriche ne suggeriscono l’importanza fondamentale nel
processo decisionale dell’utente. La popolarità dei social media attira truffatori e altri utenti
malintenzionati, che possono sfruttare questo comportamento.
Lo studio propone quindi una caratterizzazione del processo di creazione delle anteprime su
20 piattaforme di social media popolari, includendo tre aspetti rilevanti:
 I campi che vanno a comporre l’anteprima;
 La disposizione degli elementi in essa;
 il comportamento della piattaforma nell’acquisizione delle risorse web che la
compongono.
Si procede con l’immissione di malware nella piattaforma per determinare variazioni
dal comportamento standard, e si mostra come un attaccante con abbastanza risorse possa
creare anteprime ingannevoli. Si nota come comportamenti apparentemente innocenti delle
piattaforme possano in realtà essere vettori d’attacco, e come le uniche due piattaforme che
implementano meccanismi di difesa li implementino in maniera fallace.
Delle 20 piattaforme considerate, 10 sono social network e 10 sono piattaforme di mes-
saggistica istantanea. I 10 social network sono stati scelti filtrando tra i Top 1M Domains di
Alexa per numero di utenti, accessibilità e possibilità di condivisione di URL.
Le 10 piattaforme di messaggistica istantanea sono state scelte tra le prime 32 in ordine di
apparizione su Google Play Store nella sezione “comunicazione” e filtrate per popolarità,
possibilità di messaggistica istantanea e presenza sull’Apple Store. Il modello di minaccia è
stato assunto come migliore possibile per attaccante (fortemente motivato e pieno di risorse)
e vittima (utente esperto e diffidente). Gli attacchi possono essere mirati a singole vittime o
piccoli gruppi, oppure campagne phishing su vasta scala.
Figura 1: Sequenza di eventi alla condivisione di pagine su social net-
work

3. 2
Gli esperimenti sono stati condotti con un utente che condivide link a pagine di test
monitorate e un altro utente che osserva i risultati. Per rendere raggiungibili le pagine di test
è stato fatto uso di un web server che fornisce risorse da vari sottodomini diversi per ogni
piattaforma e ogni esperimento, al fine di ottenere una alta indipendenza dei risultati.
Per ridurre il rumore dovuto a bot e scansioni il web server è configurato in modo da fornire
pagine solo quando l’accesso è effettuato tramite gli specifici subdomain e non tramite l’in-
dirizzo IP pubblico. I campi delle anteprime riassumono la pagina mostrando, tipicamente, il
nome del sito, un’immagine e una breve descrizione, e si originano dal contenuto HTML della
pagina, sia da tag standard che da metatag come OpenGraph (OG, più diffusi tra i social net-
work) e TwitterCard (TC, predominanti nelle piattaforme di messaggistica istantanea)
Ogni pagina contiene un titolo univoco, paragrafi di testo e una immagine. Possono inoltre
contenere metatag HTML OG o TC in diverse combinazioni.
Andando a mappare i campi che
compaiono nelle anteprime sulle diverse
piattaforme si nota che in ognuna di esse
compaiono, in combinazioni diverse, ti-
tolo della pagina, una descrizione,
un’immagine, il nome del dominio e
l’URL condiviso. Tuttavia, nessun
campo risulta utilizzato da ogni piatta-
forma; i più diffusi sono il titolo della pa-
gina (16 piattaforme su 20) e l’host name
(14 su 20). Gli URL non compaiono mai
nelle anteprime create dai social media,
ma compaiono nel contenuto dei mes-
saggi nelle piattaforme di instant messa-
ging.
Si nota una forte variazione dei campi mostrati in base alla presenza di metatag: un totale di
25 campi non compaiono in assenza di metatag, e solo 9 piattaforme creano anteprime coe-
renti a prescindere da essi. Non esiste inoltre un consenso sui campi che vanno a comporre
un’anteprima (sono identificabili 14 template diversi) né sull’ordine di precedenza delle ri-
sorse che vanno a comporla; tuttavia nella maggioranza dei casi le anteprime vengono co-
struite a partire dai metatag anche quando questi sono in conflitto con i contenuti della pagina.
Figura 2

4. 3
Per testare la presenza di contromisure alla condivisione di risorse malevole sono stati
immessi sulle piattaforme degli URL presenti nelle liste nere (es. Google Safe Browsing) e il
trojan Win32.virut monitorando il momento in cui i controlli vengono eseguiti.
Solo Twitter ha rilevato l’URL come appartenente alla lista nera al momento della condivi-
sione, ed è stato notato che la maggior parte delle piattaforme non implementa alcun controllo
di sicurezza sugli URL. Il malware è stato prelevato correttamente generando un’anteprima
scarna o assente; cliccare sull’anteprima ha avuto come risultato il download dello stesso.
Una piattaforma (LinkedIn) ha concesso la condivisione dell’URL malevolo, reindiriz-
zando però ad una pagina di errore proprietaria al momento del click. Emerge quindi una
apparente mancanza di contromisure diffuse per impedire la distribuzione di risorse malevole.
Questi comportamenti rispetto alla condivisione di risorse rendono le piattaforme estrema-
mente vulnerabili ad eventuali attacchi.
Considerando un attaccante intenzio-
nato ad attirare uno o più utenti verso una pa-
gina web malevola nascondendola con l’an-
teprima di un sito apparentemente affidabile,
4 piattaforme (Facebook, Xing, Plurk e
Slack) permettono di agire avendo il con-
trollo del solo codice HTML. Le restanti ri-
sultano vulnerabili qualora l’attaccante abbia
la possibilità di registrare domini.
Figura 3 Layout delle anteprime raggruppate per similarità visive, cioè stesso ordine e posizione dei campi. Legenda colori:
rosso per il domain name, verde per l'immagine, giallo per il titolo del sito, viola per la descrizione, blu per l'URL
Figura 4

5. 4
In particolare, una piattaforma (Plurk) non in-
clude nome del dominio né URL originale
nell’anteprima. Instagram e Line non mo-
strano il nome del dominio, ma risulta impos-
sibile rimuovere l’URL originale dal messag-
gio. Facebook costruisce le anteprime dal me-
tatag OG:URL, anche in caso questo non cor-
risponda all’URL condiviso, creando un’ante-
prima del tutto indistinguibile a quella che si
sarebbe ottenuta condividendo l’URL conte-
nuto nel tag OG; la pagina aperta al click è
comunque quella riferita all’URL condiviso.
Whatsapp e Messenger costruiscono l’ante-
prima basandosi sul contenuto di OG:URL,
ma risulta impossibile rimuovere l’URL con-
diviso dal corpo del messaggio.
Slack consente la modifica dei messaggi inviati, dando la possibilità di modificare
l’URL condiviso senza alterare l’anteprima generata all’invio. Le uniche due piattaforme im-
plementanti qualche tipo di controllo sugli URL condivisi (Twitter e LinkedIn) risultano co-
munque aggirabili tramite redirection, per cui non si effettua una validazione a catena.
Si nota come le stringhe IP mittente e user-agent contenute nelle richieste http sono univoche
per ogni piattaforma; un attaccante può sfruttare questa caratteristica per modificare seletti-
vamente il comportamento dei server sotto il suo controllo, ad esempio fornendo pagine di-
verse in risposta a richieste provenienti dagli utenti o dai social media in fase di creazione
delle anteprime. Da queste considerazioni emerge la necessità per le piattaforme di imple-
mentare misure atte alla realizzazione di anteprime più affidabili.
La grande varietà di template e modi per costruire un’anteprima suggerisce la mancanza
di uno standard diffuso e condiviso. La mancata implementazione di questo standard potrebbe
portare gli utenti a sottostimare l’importanza di alcuni campi dell’anteprima e di conseguenza
il livello di rischio di un link. Trovandosi nel ruolo di intermediari tra pagine web e utenti,
inoltre, le piattaforme di social media dovrebbero evitare di introdurre interpretazioni del con-
tenuto delle pagine e non usare regole di elaborazione che rischino di nascondere o distorcere
il contenuto della pagina. Le anteprime dovrebbero quindi sempre contenere il nome del do-
minio o l’URL condiviso, e impedire la modifica dell’URL condiviso in seguito alla creazione
dell’anteprima (in alternativa, aggiornare l’anteprima creandola in base al nuovo URL). Per
lo stesso motivo le piattaforme dovrebbero creare l’anteprima usando risorse contenute nel
codice della pagina di arrivo; in caso di presenza di metatag OG:URL, questi andrebbero
considerati solo se facenti parte dello stesso dominio della pagina condivisa e in ogni caso
non dovrebbero essere usati per la creazione dell’intera anteprima.

6. 5
Nel corso dei test è stata inoltre rilevata la poca costanza dei browser nel presentare
messaggi di avviso da Google Safe Browsing; questo sottolinea l’impossibilità di pensare alla
validazione URL lato browser come ad una linea di difesa invalicabile. Si rende quindi ne-
cessario un sistema di validazione URL a monte da parte delle piattaforme, che vada a vali-
dare sia l’URL condiviso che gli URL facente parti di una eventuale catena di reindirizza-
menti.
Durante lo studio non è stato possibile spiegare la differenza di comportamento dei browser
rispetto all’individuazione delle risorse malware; sono quindi necessarie ulteriori ricerche.