摘要
据悉，网络攻击者正在利用合法的Facebook应用程序访问令牌作为工具，散发垃圾邮件。通过欺骗Facebook用户交换他们的令牌，以换取“点赞”、评论、朋友和追随者，这种行为助长了社交垃圾邮件僵尸网络。他们是如何做到的呢？
Proofpoint的研究人员发现一个API访问令牌，用于验证Facebook应用程序在其他Facebook页面上提供的垃圾评论。在这种情况下，受害者页面属于主要媒体和Proofpoint的客户。
评论垃圾邮件会干扰社交媒体互动，用户会暴露给网络钓鱼和恶意软件。在这种情况下，僵尸网络在社交频道会产生很多的垃圾邮件。
它的工作原理是：垃圾邮件散发者使用官方的HTC Sense应用程序通过利用过时版本的应用程序和较早版本的Facebook API来欺骗用户。
该公司页面上的垃圾邮件评论包含安装Facebook在特定版本的HTC Sense上的说明。用户点击链接并安装了应用程序之后，就显示如何获得HTC Sense应用程序的开发人员API访问令牌。
然后，用户被要求复制访问令牌，并将其粘贴到第三方网站，以换取“点赞”、评论等。一旦他们访问了令牌，该网站完全能够代表用户自动发表评论和其他内容。
Proofpoint数字风险总监Ali Mesdaq表示，它们持续了至少几个月，尽管他开始也不能确定。
他说：“最近几个月，当我们深入挖掘垃圾邮件评论的原因时，我们发现了这个活动。一些垃圾评论中谈到了如何在个人Facebook帐户上安装应用程序。”
自从发现这个问题之后，Facebook已经进行了更改防止最终用户访问开发人员级别的API令牌，并为构建安全应用程序提供了最佳实践。HTC已经删除了HTC Sense应用程序中有问题的版本。
值得注意的是，除了HTC Sense以外的几个应用程序都具有针对性，通过社交媒体垃圾邮件干扰用户相互交流，在社交渠道上削弱企业消息传播，这是对品牌造成风险的方式之一。
Mesdaq解释说：“我们在社交媒体上看到大规模的垃圾邮件行为。社交媒体被认为是攻击者的热门目标。我们预计，它们攻击的数量、多样性和强度将会大大增加。”
Proofpoint在一篇博客文章中解释道，更多的点赞、评论和朋友可能看起来很吸引人。但这是一个警示，提醒用户授予应用程序的权限，以及交付访问令牌可能会导致垃圾邮件增多。最后的结果可能导致用户的帐户被暂停。
Mesdaq说：“公司需要强大的自动化解决方案来应对垃圾邮件、网络钓鱼和恶意软件在其页面进行散发的行为。保护客户并确保适当的互动是公司应该承担的责任。”
