Car-tech

Η τρύπα του Yahoo που επέτρεψε την κατάληψη λογαριασμών email

Meet Corliss Archer: Beauty Contest / Mr. Archer's Client Suing / Corliss Decides Dexter's Future

Meet Corliss Archer: Beauty Contest / Mr. Archer's Client Suing / Corliss Decides Dexter's Future

Πίνακας περιεχομένων:

Anonim

Η επίθεση ξεκινάει με τους χρήστες να λαμβάνουν ένα spam email με το όνομά τους στη γραμμή θέματος και ένα σύντομο μήνυμα "check out this page" που ακολουθείται από ένα bit.ly σύντομο σύνδεσμο. Κάνοντας κλικ στο σύνδεσμο οι χρήστες οδηγούν σε έναν ιστότοπο που χαρακτηρίζεται ως ο ιστότοπος ειδήσεων του MSNBC που περιέχει ένα άρθρο σχετικά με το πώς να κερδίσετε χρήματα ενώ εργάζεστε από το σπίτι, οι ερευνητές του Bitdefender δήλωσαν την Τετάρτη σε μια θέση στο blog.

Με την πρώτη ματιά, από άλλους ιστότοπους απάτης στο σπίτι. Ωστόσο, στο παρασκήνιο, ένα κομμάτι κώδικα JavaScript εκμεταλλεύεται μια ευπάθεια ιστότοπου δέσμης ενεργειών μεταξύ ιστότοπων (XSS) στον ιστότοπο του ιστοτόπου του Yahoo Developer Network (YDN), προκειμένου να κλέψει το cookie συνόδου Yahoo του επισκέπτη.

[Περαιτέρω ανάγνωση: Πώς να καταργήστε το κακόβουλο λογισμικό από τον υπολογιστή σας των Windows]

Τα cookies περιόδου λειτουργίας

Τα cookie περιόδου σύνδεσης είναι μοναδικά αρχεία κειμένου αποθηκευμένα από ιστότοπους μέσα στα προγράμματα περιήγησης για να θυμούνται τους συνδεδεμένους χρήστες μέχρι να αποσυνδεθούν. Τα προγράμματα περιήγησης στο Web χρησιμοποιούν έναν μηχανισμό ασφαλείας που ονομάζεται πολιτική ίδιας προέλευσης για να αποτρέψει την πρόσβαση σε ιστότοπους που ανοίγουν σε διαφορετικές καρτέλες από τους πόρους του άλλου, όπως τα cookie περιόδου λειτουργίας. (Βλέπε επίσης Πώς να προστατεύσετε τον εαυτό σας από τα Supercookies.)

Η πολιτική ίδιας προέλευσης συνήθως επιβάλλεται ανά τομέα. Για παράδειγμα, το google.com δεν έχει πρόσβαση στα cookie περιόδου σύνδεσης για το yahoo.com, παρόλο που ο χρήστης ενδέχεται να συνδεθεί ταυτόχρονα στο ίδιο πρόγραμμα περιήγησης.Ωστόσο, ανάλογα με τις ρυθμίσεις cookie, οι υποτομείς μπορούν να αποκτήσουν πρόσβαση σε cookies περιόδου σύνδεσης που ορίζονται από τους γονικούς τους τομείς.

Αυτό φαίνεται να συμβαίνει με το Yahoo, όπου ο χρήστης παραμένει συνδεδεμένος ανεξάρτητα από το τι Υποκατηγορία Yahoo που επισκέπτονται, συμπεριλαμβανομένου του developer.yahoo.com

Ο κώδικας JavaScript που φορτώνεται από την ψεύτικη τοποθεσία MSNBC αναγκάζει το πρόγραμμα περιήγησης του επισκέπτη να καλέσει τον developer.yahoo.com με μια ειδικά σχεδιασμένη διεύθυνση URL που εκμεταλλεύεται την ευπάθεια του XSS και εκτελεί επιπλέον JavaScript κώδικα στο πλαίσιο του υποτομέα developer.yahoo.com

Αυτός ο πρόσθετος κώδικας JavaScript διαβάζει το cookie περιόδου λειτουργίας του χρήστη του Yahoo και το μεταφορτώνει σε έναν ιστότοπο που ελέγχεται από τους εισβολείς.Το cookie χρησιμοποιείται στη συνέχεια για πρόσβαση στη χρήση r του λογαριασμού ηλεκτρονικού ταχυδρομείου και στείλτε το μήνυμα spam σε όλες τις επαφές του. Κατά κάποιον τρόπο, αυτό είναι ένα σκουλήκι ηλεκτρονικού ταχυδρομείου που υποστηρίζει το XSS.

Το ευάλωτο XSS που εκμεταλλεύεται είναι στην πραγματικότητα τοποθετημένο σε ένα στοιχείο WordPress που ονομάζεται SWFUpload και ήταν patched σε WordPress έκδοση 3.3.2 που κυκλοφόρησε τον Απρίλιο του 2012, Δήλωσαν οι ερευνητές του Bitdefender. Ωστόσο, ο ιστοχώρος του YDN Blog φαίνεται να χρησιμοποιεί μια παλιά έκδοση του WordPress.

Οι ερευνητές του Bitdefender, μετά την ανακάλυψη της επίθεσης την Τετάρτη, έψαξαν στη βάση δεδομένων spam της εταιρείας και βρήκαν πολύ παρόμοια μηνύματα, δήλωσε ο Bogdan Botezatu, ανώτερος αναλυτής ηλεκτρονικής απειλής στο Bitdefender, την Πέμπτη μέσω ηλεκτρονικού ταχυδρομείου.

«Είναι εξαιρετικά δύσκολο να εκτιμήσεις το ποσοστό επιτυχίας μιας τέτοιας επίθεσης, επειδή δεν μπορεί να το δει κανείς στο δίκτυο των αισθητήρων», είπε. "Ωστόσο, εκτιμούμε ότι περίπου το ένα τοις εκατό των spam που έχουμε επεξεργαστεί τον τελευταίο μήνα προκαλείται από αυτό το συμβάν."

Η Bitdefender ανέφερε την ευπάθεια στο Yahoo την Τετάρτη, αλλά φαίνεται να είναι εκμεταλλεύσιμη την Πέμπτη, δήλωσε ο Botezatu. "Μερικοί από τους δοκιμαστικούς μας λογαριασμούς εξακολουθούν να στέλνουν αυτό το συγκεκριμένο είδος spam", δήλωσε.

Σε μια δήλωση που έστειλε αργότερα την Πέμπτη, η Yahoo είπε ότι είχε καλύψει την ευπάθεια

"Το Yahoo παίρνει την ασφάλεια και τα δεδομένα των χρηστών μας σοβαρά ", δήλωσε εκπρόσωπος της Yahoo μέσω ηλεκτρονικού ταχυδρομείου. "Πρόσφατα μάθαμε για μια ευπάθεια από μια εξωτερική εταιρία ασφάλειας και επιβεβαιώνουμε ότι έχουμε καθορίσει την ευπάθεια. Ενθαρρύνουμε τους ενδιαφερόμενους χρήστες να αλλάξουν τους κωδικούς τους σε έναν ισχυρό κωδικό πρόσβασης που συνδυάζει γράμματα, αριθμούς και σύμβολα και για να ενεργοποιήσετε τη δεύτερη πρόκληση σύνδεσης τις ρυθμίσεις του λογαριασμού τους. "

Το Botezatu συμβούλευσε τους χρήστες να αποφύγουν να κάνουν κλικ σε συνδέσμους που έλαβαν μέσω ηλεκτρονικού ταχυδρομείου, ειδικά αν συντομεύονται με bit.ly. Ο προσδιορισμός του αν ένας σύνδεσμος είναι κακόβουλος πριν το ανοίξει μπορεί να είναι δύσκολος με επιθέσεις όπως αυτές.

Στην περίπτωση αυτή, τα μηνύματα προέρχονταν από ανθρώπους που οι χρήστες γνώριζαν - οι αποστολείς βρίσκονταν στις λίστες επαφών τους - και ο κακόβουλος ιστότοπος ήταν καλά που δημιουργήθηκε για να μοιάζει με την αξιοσέβαστη πύλη MSNBC, είπε. "Είναι ένας τύπος επίθεσης που περιμένουμε να είναι εξαιρετικά επιτυχημένος."