هجوم البريد الإلكتروني يستغل الضعف في موقع ياهوو لحسابات الاختطاف

يستغل القراصنة وراء حملة هجمات البريد الإلكتروني التي تم الكشف عنها مؤخرًا نقطة ضعف في موقع ويب Yahoo لاختطاف حسابات البريد الإلكتروني لمستخدمي Yahoo و استخدامهم للبريد المزعج ، وفقا لباحثين أمنيين من بائع مكافحة الفيروسات Bitdefender.

يبدأ الهجوم مع المستخدمين الذين يتلقون البريد الإلكتروني غير المرغوب فيه مع اسمهم في سطر الموضوع ورسالة قصيرة "تحقق من هذه الصفحة" متبوعة بتقصير bit.ly حلقة الوصل. يقول الباحثون في بيتدفندر يوم الأربعاء في مقال نشره بالمدونة إن النقر على الرابط يأخذ المستخدمين إلى موقع إلكتروني يتنكر في موقع أخبار MSNBC الذي يحتوي على مقال حول كيفية كسب المال أثناء العمل من المنزل.

بالنسبة للوهلة الأولى ، يبدو هذا غير مختلف من مواقع خداع العمل من المنزل. ومع ذلك ، في الخلفية ، تستغل قطعة من شفرة جافا سكريبت ثغرة في البرمجة النصية للمواقع المشتركة (XSS) في موقع مدونة شبكة مطوري Yahoo! (YDN) من أجل سرقة ملف تعريف ارتباط جلسة الزائر في ياهو.

[المزيد من القراءة: إزالة البرامج الضارة من جهاز كمبيوتر يعمل بنظام Windows لديك

كيف يعمل

ملفات تعريف الارتباط هي سلاسل فريدة من النصوص المخزنة بواسطة مواقع الويب داخل المتصفحات لتذكر المستخدمين المسجلين حتى يتم تسجيل الخروج. تستخدم متصفحات الويب آلية أمان تسمى سياسة المصدر الأصلي لمنع مواقع الويب المفتوحة في علامات تبويب مختلفة من الوصول إلى موارد بعضها البعض ، مثل ملفات تعريف الارتباط للجلسات.

يتم عادةً فرض سياسة المصدر الأصلي لكل نطاق. على سبيل المثال ، لا يمكن لموقع google.com الوصول إلى ملفات تعريف ارتباط جلسة العمل لـ yahoo.com على الرغم من أنه قد يتم تسجيل دخول المستخدم إلى كلا الموقعين في نفس الوقت في نفس المتصفح. ومع ذلك ، استنادًا إلى إعدادات ملفات تعريف الارتباط ، يمكن للنطاقات الفرعية الدخول إلى ملفات تعريف ارتباط الجلسة التي تم تعيينها بواسطة نطاقاتها الرئيسية.

يبدو أن هذا هو الحال مع Yahoo ، حيث يظل المستخدم مسجلاً بغض النظر عن المجال الفرعي الذي ينتقل إليه Yahoo ، بما في ذلك developer.yahoo. com>

رمز جافا سكريبت المارق الذي تم تحميله من موقع MSNBC المزيف يجبر متصفح الزائر على الاتصال بـ developer.yahoo.com بعنوان URL مصمم خصيصًا يستغل ثغرة XSS وينفذ شفرة جافا سكريبت إضافية في سياق developer.yahoo. com subdomain.

رمز JavaScript الإضافي هذا يقرأ ملف تعريف ارتباط جلسة عمل مستخدم Yahoo ويقوم بتحميله إلى موقع ويب يسيطر عليه المهاجمون. ثم يتم استخدام ملف تعريف الارتباط للوصول إلى حساب البريد الإلكتروني للمستخدم وإرسال البريد الإلكتروني العشوائي إلى جميع جهات الاتصال الخاصة بهم. بمعنى من المعاني ، هذه هي دودة البريد الإلكتروني التي تعتمد على XSS ، والتي يتم بثها ذاتيًا.

تقع ثغرة XSS المستغلة بالفعل في مكون WordPress يُسمى SWFUpload وتم تصحيحها في الإصدار 3.3.2 من WordPress الذي تم إصداره في أبريل 2012 ، وقال باحثون بيتدفندر. ومع ذلك ، يبدو أن موقع مدونة YDN يستخدم إصدارًا قديمًا من WordPress.

كيفية تجنب المشاكل

بعد اكتشاف الهجوم يوم الأربعاء ، قام باحثو Bitdefender بتفتيش قاعدة بيانات البريد المزعج الخاصة بالشركة ووجدوا رسائل مشابهة جدًا يعود تاريخها إلى ما يقرب من وقال بوجدان بوتيزاتو ، وهو محلل كبير للتهديدات الإلكترونية في بيتدفندر ، يوم الخميس عبر البريد الإلكتروني: "من الصعب للغاية تقدير معدل نجاح مثل هذا الهجوم لأنه لا يمكن رؤيته في شبكة الاستشعار". قال. "ومع ذلك ، فإننا نقدر أن ما يقرب من واحد في المئة من البريد المزعج التي قمنا بمعالجتها في الشهر الماضي سببه هذا الحادث."

أبلغ Bitdefender عن الضعف أمام ياهو يوم الأربعاء ، ولكن يبدو أنه لا يزال قابلاً للاستغلال يوم الخميس ، حسبما قال Botezatu.. وقال: "بعض حساباتنا التجريبية ما زالت ترسل هذا النوع المحدد من الرسائل الاقتحامية." وفي بيان أُرسل في وقت لاحق من يوم الخميس ، قالت ياهو إنها قامت بتصحيح الثغرة الأمنية.

"تعتمد ياهو على بيانات الأمان ومستخدمينا. على محمل الجد ، "وقال ممثل ياهو عبر البريد الإلكتروني. "لقد علمنا مؤخرًا بوجود ثغرة أمنية من شركة أمنية خارجية والتأكد من إصلاح الثغرة. نحن نشجع المستخدمين المعنيين على تغيير كلمات المرور الخاصة بهم إلى كلمة مرور قوية تجمع بين الأحرف والأرقام والرموز ولتمكين التحدي الثاني لتسجيل الدخول في إعدادات الحساب الخاصة بهم. "

نصح Botezatu المستخدمين لتجنب النقر على الروابط الواردة عبر البريد الإلكتروني ، وخاصة إذا تم اختصارها مع bit.ly. وقال إن تحديد ما إذا كان الرابط خبيثًا قبل فتحه قد يكون صعبًا بسبب هجمات كهذه.

في هذه الحالة ، جاءت الرسائل من أشخاص عرفهم المستخدمون - وكان المرسلون في قوائم جهات الاتصال الخاصة بهم - والموقع الخبيث وقال إنه تم تصميمه بشكل جيد ليبدو مثل بوابة MSNBC المحترمة. "إنه نوع من الهجمات التي نتوقع أن تكون ناجحة للغاية."

نصح Botezatu المستخدمين لتجنب النقر على الروابط الواردة عبر البريد الإلكتروني ، وخاصة إذا كانت مختصرة مع bit.ly. وقال إن تحديد ما إذا كان الرابط خبيثًا قبل فتحه قد يكون صعبًا بسبب هجمات كهذه.

في هذه الحالة ، جاءت الرسائل من أشخاص عرفهم المستخدمون - كان المرسلون في قوائم جهات الاتصال الخاصة بهم - وكان الموقع الخبيث جيدًا قال: "يبدو وكأنه سيبدو مثل بوابة" إم إس إن بي سي "المحترمة. "إنه نوع من الهجمات التي نتوقع أن تكون ناجحة للغاية."

تحديث 1/31/2013 مع تعليقات ياهو