Yahoo détecte le détournement de comptes de messagerie

Les pirates derrière une campagne d'attaques par e-mail récemment détectée exploitent une vulnérabilité dans un site Yahoo pour pirater les comptes de messagerie des utilisateurs de Yahoo et les utiliser pour du spam, selon des chercheurs en sécurité du fournisseur d'antivirus Bitdefender.

L'attaque commence avec les utilisateurs recevant un email spam avec leur nom dans la ligne d'objet et un court message "check out this page" suivi d'un lien raccourci bit.ly. En cliquant sur ce lien, les utilisateurs d'un site Web se faisant passer pour un site d'information MSNBC contenant un article sur la façon de gagner de l'argent à la maison, ont déclaré mercredi les chercheurs de Bitdefender dans un article.

d'autres sites d'escroquerie de travail-de-maison. Cependant, en arrière-plan, un fragment de code JavaScript exploite une vulnérabilité XSS (cross-site scripting) sur le blog Yahoo Developer Network (YDN) afin de dérober le cookie de session Yahoo du visiteur.

[Plus d'informations supprimer les logiciels malveillants de votre PC Windows]

Les cookies de session ouvrent la porte

Les cookies de session sont des chaînes de texte uniques stockées par des sites Web dans les navigateurs afin de se souvenir des utilisateurs connectés jusqu'à leur déconnexion. Les navigateurs Web utilisent un mécanisme de sécurité appelé stratégie d'origine identique pour empêcher les sites Web ouverts dans des onglets différents d'accéder aux ressources de l'autre, comme les cookies de session. (Voir aussi Comment se protéger des supercookies.)

La règle de la même origine est généralement appliquée par domaine. Par exemple, google.com ne peut pas accéder aux cookies de session pour yahoo.com même si l'utilisateur est connecté à la fois Toutefois, en fonction des paramètres des cookies, les sous-domaines peuvent accéder aux cookies de session définis par leurs domaines parents.

Cela semble être le cas de Yahoo, où l'utilisateur reste connecté quel que soit le type de cookies. Sous-domaine Yahoo qu'ils visitent, y compris developer.yahoo.com.

Le code JavaScript frauduleux chargé depuis le faux site Web MSNBC force le navigateur du visiteur à appeler developer.yahoo.com avec une URL spécialement conçue qui exploite la vulnérabilité XSS et exécute du code JavaScript supplémentaire code dans le contexte du sous-domaine developer.yahoo.com.

Ce code JavaScript supplémentaire lit le cookie de session de l'utilisateur Yahoo et le télécharge sur un site Web contrôlé par les pirates. compte e-mail de r et envoyer l'e-mail de spam à tous leurs contacts. En un sens, il s'agit d'un ver de messagerie auto-propagé alimenté par XSS.

La vulnérabilité XSS exploitée se trouve dans un composant WordPress appelé SWFUpload et a été corrigé dans WordPress version 3.3.2 qui a été publié en avril 2012, le Les chercheurs de Bitdefender ont dit. Cependant, le site YDN Blog semble utiliser une version obsolète de WordPress.

Exploit rapporté, écrasé

Après avoir découvert l'attaque mercredi, les chercheurs de Bitdefender ont fouillé la base de données de spam de l'entreprise et ont trouvé des messages similaires "Il est extrêmement difficile d'estimer le taux de réussite d'une telle attaque, car il ne peut pas être vu dans le réseau de capteurs", a déclaré Bogdan Botezatu, analyste senior des menaces électroniques chez Bitdefender, jeudi. m'a dit. "Cependant, nous estimons qu'environ un pour cent des spams que nous avons traités au cours du dernier mois sont causés par cet incident."

Bitdefender a signalé la vulnérabilité à Yahoo mercredi, mais elle semblait toujours exploitable jeudi, a déclaré Botezatu.. "Certains de nos comptes de test envoient encore ce type spécifique de spam", a-t-il dit.

Dans un communiqué envoyé plus tard jeudi, Yahoo a annoncé avoir corrigé la vulnérabilité.

"Yahoo prend la sécurité et les données de nos utilisateurs sérieusement, "un représentant de Yahoo a déclaré par e-mail. "Nous avons récemment découvert une vulnérabilité d'une société de sécurité externe et confirmé que nous avons corrigé la vulnérabilité.Nous encourageons les utilisateurs concernés à changer leur mot de passe en un mot de passe fort combinant lettres, chiffres et symboles, et à activer le second défi de connexion. leurs paramètres de compte. "

Botezatu a conseillé aux utilisateurs d'éviter de cliquer sur les liens reçus par e-mail, surtout s'ils sont raccourcis avec bit.ly. Déterminer si un lien est malveillant avant de l'ouvrir peut être difficile avec des attaques comme celles-ci, dit-il.

Dans ce cas, les messages provenaient de gens que les utilisateurs connaissaient - les expéditeurs étaient dans leurs listes de contacts - et le site malveillant Il a été conçu pour ressembler au respectable portail MSNBC. "C'est un type d'attaque que nous espérons avoir beaucoup de succès."