Car-tech

Angrepet begynner med at brukerne mottar en spam-e-post med navnet i emnelinjen og en kort melding på denne siden, etterfulgt av en litt forkortet lenke. Ved å klikke på koblingen blir brukere til et nettsted masquerading som MSNBC-nyhetssitet som inneholder en artikkel om hvordan man tjener penger mens du jobber hjemmefra, sier Bitdefender-forskerne onsdag i et blogginnlegg. fra andre arbeid-fra-hjemmet svindel nettsteder. I bakgrunnen utnytter et stykke JavaScript-kode imidlertid et sårbarhets

FBI investigating massive Yahoo hacking

FBI investigating massive Yahoo hacking

Innholdsfortegnelse:

Anonim

Session-cookies åpne dør

Session-cookies er unike tekststrenger lagret av nettsteder i nettleserne for å huske innloggede brukere før de logger ut. Nettlesere bruker en sikkerhetsmekanisme som heter politikk med samme opprinnelse for å forhindre at nettsteder åpnes i forskjellige kategorier, fra å få tilgang til hverandres ressurser, for eksempel øktkaker. (Se også hvordan du beskytter deg mot Super Cookies. ")

Politikken med samme opprinnelse håndheves vanligvis per domene. For eksempel kan google.com ikke få tilgang til øktkakene for yahoo.com, selv om brukeren kan være logget inn i begge nettsteder, samtidig i samme nettleser. Men, avhengig av informasjonskapselinnstillingene, kan underdomene få tilgang til øktkaket sett av foreldrenes domener.

Dette ser ut til å være tilfelle med Yahoo, der brukeren fortsatt er logget inn uavhengig av hva Yahoo-underdomenet de besøker, inkludert developer.yahoo.com.

Den falske JavaScript-koden lastet fra den falske MSNBC-nettsiden tvinger den besøkende nettleser til å ringe developer.yahoo.com med en spesifikt utformet nettadresse som utnytter XSS-sårbarheten og kjører ytterligere JavaScript kode i sammenheng med underdomainen Developer.yahoo.com.

Denne ekstra JavaScript-koden leser Yahoo-brukerens øktkake og laster den opp til et nettsted som kontrolleres av angriperne. Cookien brukes da til å få tilgang til bruken rs e-postkonto og send spam-eposten til alle sine kontakter. På en måte er dette en XSS-drevet, selvutbredende e-postmask.

Den utnyttede XSS-sårbarheten er faktisk plassert i en WordPress-komponent kalt SWFUpload og ble oppdatert i WordPress versjon 3.3.2 som ble utgitt i april 2012, Bitdefender forskere sa. Men det ser ut til at YDN Blog-nettstedet bruker en utdatert versjon av WordPress.

Utnyttet rapportering, squashed

Etter å ha oppdaget angrepet på onsdag, søkte Bitdefender-forskerne selskapets spamdatabase og fant svært like meldinger som dateres nesten en måned, sa Bogdan Botezatu, senior e-trusselytiker ved Bitdefender, torsdag via e-post.

"Det er ekstremt vanskelig å anslå suksessraten for et slikt angrep fordi det ikke kan ses i sensornettverket," sa han sa. "Vi estimerer imidlertid at omtrent en prosent av spam vi har behandlet i den siste måneden, er forårsaket av denne hendelsen."

Bitdefender rapporterte sårbarheten til Yahoo onsdag, men det virket fortsatt utnytte på torsdag, sa Botezatu. "Noen av våre testkontoer sender fremdeles denne spesifikke typen spam," sa han.

I en uttalelse sendt senere på torsdag, sa Yahoo at den hadde patched sikkerheten.

"Yahoo tar sikkerhet og brukerens data seriøst, sier en Yahoo-representant via e-post. "Vi har nylig lært om et sikkerhetsproblem fra et eksternt sikkerhetsfirma og bekrefter at vi har løst sikkerhetsproblemet. Vi oppfordrer bekymrede brukere til å endre passordene sine til et sterkt passord som kombinerer bokstaver, tall og symboler, og for å aktivere den andre påloggingsutfordringen i deres kontoinnstillinger. "

Botezatu anbefalte brukere å unngå å klikke på koblinger mottatt via e-post, spesielt hvis de forkortes med bit.ly. Å finne ut om en kobling er ondsinnet før den åpnes, kan være vanskelig med angrep som disse, sa han.

I dette tilfellet kom meldingene fra folk brukerne visste - senderne var i deres kontaktlister - og det ondsinnede stedet var godt -crafted å se ut som respektabel MSNBC portal, sa han. "Det er en type angrep som vi regner med å være svært vellykket."