Car-tech

E-postangrepp utnyttjar sårbarhet i Yahoo-webbplats för att kapabla konton

Yahoo.com | Yahoo Mail Login 2020 | www.yahoo.com Sign In

Yahoo.com | Yahoo Mail Login 2020 | www.yahoo.com Sign In

Innehållsförteckning:

Anonim

Hackers bakom en nyligen upptäckt email-attackkampanj utnyttjar en sårbarhet på en Yahoo-webbplats för att kapra Yahoo-användareens e-postkonton och Använda dem för skräppost, enligt säkerhetsforskare från antivirusleverantören Bitdefender.

Anfallet börjar med att användare får en skräppost med deras namn på ämnesraden och ett kort meddelande om "kolla in den här sidan" följt av en bit.ly förkortad länk. Genom att klicka på länken tar användare till en webbplats masquerading som MSNBC-nyhetssiten som innehåller en artikel om hur man tjänar pengar medan man arbetar hemifrån, sa Bitdefender-forskarna onsdagen i ett blogginlägg.

Vid första ögonkastet verkar det inte annorlunda från andra scam-webbplatser från hemmet. Men i bakgrunden utnyttjar en del JavaScript-kod en XSS-sårbarhet på webbplatsen Yahoo Developer Network (YDN) för att stjäla besökarens Yahoo-kaka.

[Ytterligare läsning: Hur man ta bort skadlig kod från din Windows-dator]

Så fungerar det

Sessionkakor är unika textsträngar som sparas av webbplatser i webbläsare för att komma ihåg inloggade användare tills de loggar ut. Webbläsare använder en säkerhetsmekanism som heter policy med samma ursprung för att förhindra att webbplatser öppnas i olika flikar från att få tillgång till varandras resurser, till exempel sessionskakor.

Samma ursprungspolicy verkställs vanligtvis per domän. Till exempel kan google.com inte komma åt session cookies för yahoo.com trots att användaren kan vara inloggad på båda sidorna samtidigt i samma webbläsare. Men beroende på cookie-inställningarna kan subdomäner få åtkomst till sessionskakor som anges av deras moderdomen.

Detta verkar vara fallet med Yahoo, där användaren fortfarande är inloggad oavsett vilken Yahoo-domän de besöker, inklusive developer.yahoo. com.

Den skrämmande JavaScript-koden laddad från den falska MSNBC-webbplatsen tvingar besökarens webbläsare att ringa developer.yahoo.com med en speciellt utformad URL som utnyttjar XSS-sårbarheten och utför ytterligare JavaScript-kod i samband med developer.yahoo. com-underdomän.

Den här extra JavaScript-koden läser Yahoo-användarens session cookie och laddar den upp till en webbplats som kontrolleras av angriparna. Kakan används sedan för att komma åt användarens e-postkonto och skicka spam-e-postmeddelandet till alla sina kontakter. I en mening är detta en XSS-driven, självförbredande e-postmask.

Den exploaterade XSS-sårbarheten finns faktiskt i en WordPress-komponent som heter SWFUpload och patched i WordPress version 3.3.2 som släpptes i april 2012, den Bitdefender forskare sa. YDN Blog-webbplatsen verkar emellertid använda en föråldrad version av WordPress.

Hur man undviker problem

Efter att ha upptäckt attacken på onsdagen sökte Bitdefender-forskarna företagets spamdatabas och hittade mycket liknande meddelanden som gick tillbaka nästan en månad, säger Bogdan Botezatu, en senior e-hotanalytiker vid Bitdefender, torsdag via email.

"Det är extremt svårt att uppskatta framgången för en sådan attack eftersom den inte kan ses i sensornätverket", säger han sa. "Vi uppskattar emellertid att ungefär en procent av spam som vi har behandlat under den senaste månaden orsakas av denna incident."

Bitdefender rapporterade sårbarheten för Yahoo på onsdagen, men det verkar fortfarande vara exploaterbart på torsdagen, sade Botezatu. "Några av våra testkonton skickar fortfarande denna specifika typ av skräppost," sa han.

I ett uttalande skickat senare på torsdagen sa Yahoo att det hade patchat sårbarheten.

"Yahoo tar säkerhet och våra användares data allvarligt ", sa en Yahoo-representant via e-post. "Vi har nyligen lärt oss av en sårbarhet från ett externt säkerhetsföretag och bekräftar att vi har fastställt sårbarheten. Vi uppmanar berörda användare att ändra sina lösenord till ett starkt lösenord som kombinerar bokstäver, siffror och symboler och för att aktivera den andra inloggningsutmaningen i deras kontoinställningar. "

Botezatu rekommenderade användarna att undvika att klicka på länkar mottagna via e-post, särskilt om de förkortas med bit.ly. Att bestämma om en länk är skadlig innan den öppnas kan vara svårt med attacker som dessa, sade han.

I det här fallet kom meddelandena från personer som användarna visste - avsändarna var i deras kontaktlistor - och den skadliga webbplatsen var väl utformad för att se ut som den respektabla MSNBC-portalen, sa han. "Det är en typ av attack som vi förväntar oss att vara mycket framgångsrik."

Botezatu rekommenderade användarna att undvika att klicka på länkar mottagna via e-post, särskilt om de förkortas med bit.ly. Att bestämma om en länk är skadlig innan den öppnas kan vara svår med attacker som dessa, sade han.

I det här fallet kom meddelandena från personer som användarna visste - avsändarna var i deras kontaktlistor - och den skadliga webbplatsen var bra -crafted för att se ut som respektabel MSNBC portal, sa han. "Det är en typ av attack som vi förväntar oss att vara mycket framgångsrika."

Uppdaterad 31.1.2013 med Yahoo-kommentarer