Nu picati in plasa

Mai bine spus nu deschideti orice adresa pe care o primiti de la cunoscuti pe messenger. Astfel riscati sa o muscati rau. Cititi mai jos de ce !!!

Un hacker roman a creeat un virus ce sparge mailurile Yahoo! si se raspandeste intr-un ritm alert. Asa ar suna o stire prezentata de Andreea Esca. Adevarul este altul si extrem de simplu.

In urma cu foarte mult timp am facut public pe RST un xss permanent in pipes.yahoo.com. In acelasi timp au aparut discutii despre respectiva vulnerabilitate si pe alte site-uri de profil. Cum sa va spun… e o chestie atat de evidenta in serviciul respectiv (hint: parametrul url din consola pipes), incat multa lume a reusit sa descopere respectivul xss fara ajutor din partea altora.

Cei de la Yahoo! au fost anuntati si au modificat pe alocuri sistemul dar au permis in continuare injectarea javascript. De ce? Pentru ca fara javascript serviciul lor ar deveni inutil.

Acum, dupa 1 an si ceva, un roman s-a gasit sa foloseasca un xss worm ce fura cookies de Yahoo!, extrage contactele si le da mail mai departe cu linkul care contine grabberul. Xss-ul folosit este cel din pipes.yahoo.com si din cate tin minte nicio versiune a Internet Explorer nu este afectata, dar Firefox pica in plasa atacurilor.

Ce face respectivul individ cu atatea conturi sparte nu am de unde sa stiu, ideea este ca din cauza nepasarii celor de la Yahoo! mii de conturi vor fi compromise.

Mesajele care contin linkul problematic arata cam asa:

Sender: o persoana care va are in lista de contacte - probabil un prieten de-al vostru

Subiect: Buna!

Mesaj: http://lumina.ro/blabla/blabla/lol123.jpg - probabil sunt folosite si alte domenii

Sfatul meu: nu dati click pe linkurile respective, chiar daca vedeti extensia .jpg. In clipa in care dati click, atacatorul va poate accesa mailul si voi veti trimite automat mesajul cu linkul catre toti cei aflati in lista voastra de contacte.

De ce spuneam la inceputul articolului ca nu e nimic senzational in toata povestea? Pentru ca sursa de xss worm in Yahoo exista pe net, xss-uri se gasesc foarte simplu, cookie grabbere sunt publice de ani de zile. Ca sa devii un “mare hacker” trebuie sa stii ce sa cauti pe Google si sa le pui pe toate cap la cap. Daca nu stii sa faci asta nu-i nimic, exista si tutoriale care te invata cum sa procedezi.

Luat de pe situl http://hackersblog.org/