Car-tech

Huller i Yahoo-stik, der tillod kapring af e-mail-konti

CS50 2016 Week 0 at Yale (pre-release)

CS50 2016 Week 0 at Yale (pre-release)

Indholdsfortegnelse:

Anonim

Hackere bag en nylig opdaget email-angrebskampagne udnytter en sårbarhed på en Yahoo-hjemmeside for at kapre Yahoo-brugerens e-mail-konti og bruge dem til spam, ifølge sikkerhedsforskere fra antivirusleverandøren Bitdefender.

Angrebet begynder med brugere, der modtager en spam-e-mail med deres navn i emnelinjen og en kort "Check out this page" -meddelelse efterfulgt af et lidt forkortet link. Når man klikker på linket, tager brugerne til et websted masquerading som MSNBC-nyhedswebstedet, der indeholder en artikel om, hvordan man tjener penge, mens man arbejder hjemmefra, siger Bitdefender-forskerne onsdag i et blogindlæg.

Ved første øjekast synes dette ikke anderledes fra andre scam-websteder fra arbejde til hjemmet. I baggrunden udnytter et stykke JavaScript-kode imidlertid en sårbarhed på tværs af webstedsscript (XSS) på Yahoo Developer Network (YDN) Blog-webstedet for at stjæle den besøgendes Yahoo-session cookie.

[Yderligere læsning: Sådan fjern malware fra din Windows-pc]

Session cookies åbne dør

Session cookies er unikke tekststreng gemt af websites inde i browsere for at huske logget ind brugere, indtil de logger ud. Webbrowsere bruger en sikkerhedsmekanisme kaldet politik med samme oprindelse for at forhindre websteder, der åbnes i forskellige faner, for at få adgang til hinandens ressourcer, som f.eks. Sessionsk cookies. (Se også, hvordan man beskytter dig selv mod Supercookies. ")

Politikken med samme oprindelse håndhæves normalt pr. Domæne. Googleogle kan f.eks. Ikke få adgang til sessionskaksterne til yahoo.com, selvom brugeren måske er logget ind i begge hjemmesider på samme tid i den samme browser. Afhængigt af cookieindstillingerne kan underdomæner imidlertid få adgang til sessionsk cookies indstillet af deres overordnede domæner.

Dette ser ud til at være tilfældet med Yahoo, hvor brugeren forbliver logget ind uanset hvad Yahoo subdomæne de besøger, herunder developer.yahoo.com.

Den skurkede JavaScript-kode, der er indlæst fra den falske MSNBC-hjemmeside, tvinger den besøgendes browser til at ringe developer.yahoo.com med en specifikt udformet webadresse, der udnytter XSS-sårbarheden og udfører yderligere JavaScript kode i sammenhæng med developer.yahoo.com underdomænet.

Denne ekstra JavaScript kode læser Yahoo-brugerens session cookie og uploader den til et websted kontrolleret af angriberne. Cookien bruges derefter til at få adgang til brugen rs e-mail-konto og send spam-emailen til alle deres kontakter. På den måde er dette en XSS-powered, selvudbredende e-mailorm.

Den udnyttede XSS-sårbarhed er faktisk placeret i en WordPress-komponent kaldet SWFUpload og blev patched i WordPress version 3.3.2, der blev udgivet i april 2012, den Bitdefender forskere sagde. YDN Blog-webstedet ser ud til at bruge en forældet version af WordPress.

Exploit rapporteret, squashed

Efter at have opdaget angrebet på onsdag, søgte Bitdefender-forskerne virksomhedens spamdatabase og fandt meget lignende meddelelser, der næsten var en måned, sagde Bogdan Botezatu, en senior e-trussel analytiker på Bitdefender, torsdag via email.

"Det er ekstremt vanskeligt at vurdere succesraten for et sådant angreb, fordi det ikke kan ses i sensornetværket" sagde. "Vi vurderer dog, at ca. en procent af den spam, vi har behandlet i den seneste måned, skyldes denne hændelse."

Bitdefender rapporterede sårbarheden til Yahoo på onsdag, men det viste sig stadig at kunne udnyttes på torsdag, sagde Botezatu. "Nogle af vores testkonti sender stadig denne specifikke type spam," sagde han.

I en redegørelse, der blev sendt senere på torsdag, sagde Yahoo, at det havde patched sårbarheden.

"Yahoo tager sikkerhed og vores brugerdata alvorligt, "en Yahoo repræsentant sagde via e-mail. "Vi har for nylig lært om en sårbarhed fra et eksternt sikkerhedsfirma og bekræfter, at vi har rettet sårbarheden. Vi opfordrer brugerne til at ændre deres adgangskoder til et stærkt kodeord, der kombinerer bogstaver, tal og symboler, og for at aktivere den anden loginudfordring i deres kontoindstillinger. "

Botezatu råde brugerne til at undgå at klikke på links modtaget via e-mail, især hvis de forkortes med bit.ly. At afgøre, om et link er ondsindet, før det åbnes, kan være svært ved angreb som disse, sagde han.

I dette tilfælde kom meddelelserne fra folk brugerne vidste - senderne var i deres kontaktlister - og det ondsindede websted var godt -crafted til at ligne den respektable MSNBC portal, sagde han. "Det er en form for angreb, som vi forventer at være meget succesrige."