Die Syrian Electronic Army agiert zumindest mit Billigung der syrischen Regierung und greift gezielt die Accounts Oppositioneller auf Facebook und Youtube an. Außerdem werden die Computer mit Trojanern infiziert.
- Im März 2011 wurde eine breit angelegte Man-in-the-Middle Attacke gegen syrische Facebook Nutzer aufgedeckt. Ziel waren wahrscheinlich die Login Creditals syrischer Oppositioneller. Die breite Kompromittierungd der HTTPS-Verbindungen mit gefakten Zertifikaten erforderte die Kooperation mehrerer ISPs. Eine direkte Beteiligung der Regierung ist wahrscheinlich.
- Im Februar 2012 berichtet CNNtech über den Einsatz von Trojanern (z.B. Backdoor.Breut), die gezielt unter syrischen Oppositionellen gestreut wurden.
- Im März 2012 wurde ein PDF-Dokument via Skype Message unter syrischen Oppositionellen verteilt, welches beim Öffnen das Fernwartungstool DarkComet RAT auf Windows Rechnern installierte.
- Ebenfalls im März 2012 wurden in Chats und via E-Mails Links zu angeblichen Videos der syrischen Opposition verteilt, die auf eine Fake-Youtube Seite führten. Die Besucher sollten ihre Login Credentials für Youtube eingeben, um das Video zu kommentieren. Außerdem wurden sie zur Installation eines verseuchten Update für den Adobe Flash Player aufgefordert.
- Bei einer dritte Angriffswelle im März 2012 wurden Kommentare in Diskussionsgruppen auf Facebook gepostet, um die Nutzer auf eine Phishing Seite für Facebook Account Daten zu leiten. Urgent and critical.. video leaked by security forces and thugs....
- Ab 9. April 2012 wurde für mehrere Tage Links in Kommentaren von Facebookseiten gepostet, die zu einer Fake Seite führten und zum Download der Sicherheitsanwendung "FacebookWebBrowser.exe" aufforderten. Dabei handelte es sich um einen Keylogger, der die Login Daten von Facebook und E-Mail Accounts abfing und an eine syrischen IP-Adresse schickt.
- Seit einigen Tagen wird ein Skype Encryption Tool unter syrischen Oppositionellen aktiv beworben. Das Tool verschlüsselt aber nichts, es installiert nur das Fernwartungstool DarkComet 3.3. Das Tool erlaubt die Fernsteuerung von Webcam und Mikrofon, arbeitet als Keylogger und deaktiviert verschiedene Virescanner.
Bei der Verteilung der Trojaner werden immer wieder gekaperte Accounts genutzt, so dass die Opfer annehmen müssen, die Nachricht käme von einem Freund.
Angriffe auf Facebook Accounts sind nicht neu. Der tunesische Geheimdienste Agence Tunisienne d'Internet (ATI) nutzte beispielsweise im März 2011 Javascript Injection, um Login Credentials für Facebook abzugreifen. Neu ist vor allem die Intensität der Angriffe im Cyberwar.
