فتحة توصيل ياهو التي سمحت باختطاف حسابات البريد الإلكتروني

يبدأ الهجوم مع المستخدمين الذين يتلقون البريد الإلكتروني غير المرغوب فيه مع اسمهم في سطر الموضوع ورسالة قصيرة "سحب هذه الصفحة" متبوعًا برابط قصير إلى bit.ly. يقول الباحثون في بيتدفندر يوم الأربعاء في مقال نشره بالمدونة إن النقر على الرابط يأخذ المستخدمين إلى موقع إلكتروني يتنكر في موقع أخبار MSNBC الذي يحتوي على مقال حول كيفية كسب المال أثناء العمل من المنزل.

بالنسبة للوهلة الأولى ، يبدو هذا غير مختلف من مواقع خداع العمل من المنزل. ومع ذلك ، في الخلفية ، تستغل قطعة من شفرة جافا سكريبت ثغرة في البرمجة النصية للمواقع المشتركة (XSS) في موقع مدونة Yahoo Network Network (YDN) من أجل سرقة ملف تعريف الارتباط لجلسة عمل Yahoo.

[المزيد من القراءة: How to إزالة البرامج الضارة من جهاز الكمبيوتر الذي يعمل بنظام Windows لديك

ملفات تعريف ارتباط الجلسة المفتوحة الباب

ملفات تعريف الارتباط الخاصة بالجلسات هي سلاسل فريدة من النصوص المخزنة بواسطة مواقع الويب داخل المتصفحات لتذكر المستخدمين الذين قاموا بتسجيل الدخول حتى يقوموا بتسجيل الخروج. تستخدم متصفحات الويب آلية أمان تسمى سياسة المصدر الأصلي لمنع مواقع الويب المفتوحة في علامات تبويب مختلفة من الوصول إلى موارد بعضها البعض ، مثل ملفات تعريف الارتباط للجلسة. (راجع أيضًا كيف تحمي نفسك من Supercookies. ")

يتم تطبيق سياسة المصدر نفسه عادةً على النطاق. على سبيل المثال ، لا يمكن لـ google.com الوصول إلى ملفات تعريف ارتباط جلسة العمل لـ yahoo.com على الرغم من أنه قد يتم تسجيل دخول المستخدم مواقع الويب في نفس الوقت في نفس المتصفح ، ومع ذلك ، اعتمادًا على إعدادات ملفات تعريف الارتباط ، يمكن للنطاقات الفرعية الدخول إلى ملفات تعريف ارتباط الجلسة التي تم تعيينها بواسطة نطاقاتها الرئيسية.

يبدو أن هذا هو الحال مع Yahoo ، حيث يظل المستخدم مسجلاً بغض النظر عن ياهو الفرعي الذي يقومون بزيارته ، بما في ذلك developer.yahoo.com.

رمز جافا سكريبت المارق الذي تم تحميله من موقع MSNBC المزيف يجبر متصفح الزائر على الاتصال بـ developer.yahoo.com مع عنوان URL مصمم خصيصًا يستغل ثغرة XSS وينفذ جافا سكريبت إضافية رمز في سياق المجال الفرعي developer.yahoo.com.

يقرأ رمز جافا سكريبت الإضافي هذا ملف تعريف ارتباط جلسة عمل مستخدم Yahoo ويتم تحميله إلى موقع ويب يسيطر عليه المهاجمون. ثم يتم استخدام ملف تعريف الارتباط للوصول إلى الاستخدام حساب البريد الإلكتروني r وإرسال البريد الإلكتروني العشوائي إلى كافة جهات الاتصال الخاصة بهم. بمعنى من المعاني ، هذه هي دودة البريد الإلكتروني التي تعتمد على XSS ، والتي يتم بثها ذاتيًا.

تقع ثغرة XSS المستغلة بالفعل في مكون WordPress يُسمى SWFUpload وتم تصحيحها في الإصدار 3.3.2 من WordPress الذي تم إصداره في أبريل 2012 ، وقال باحثون بيتدفندر. ومع ذلك ، يبدو أن موقع مدونة YDN يستخدم إصدارًا قديمًا من WordPress.

Exploit reported، squashed

بعد اكتشاف الهجوم يوم الأربعاء ، قام باحثو Bitdefender بتفتيش قاعدة بيانات البريد المزعج الخاصة بالشركة ووجدوا رسائل مشابهة جدًا يعود تاريخها إلى ما يقرب من وقال بوجدان بوتيزاتو ، وهو محلل كبير للتهديدات الإلكترونية في بيتدفندر ، يوم الخميس عبر البريد الإلكتروني: "من الصعب للغاية تقدير معدل نجاح مثل هذا الهجوم لأنه لا يمكن رؤيته في شبكة الاستشعار". قال. "ومع ذلك ، فإننا نقدر أن ما يقرب من واحد في المئة من البريد المزعج التي قمنا بمعالجتها في الشهر الماضي سببه هذا الحادث."

أبلغ Bitdefender عن الضعف أمام ياهو يوم الأربعاء ، ولكن يبدو أنه لا يزال قابلاً للاستغلال يوم الخميس ، حسبما قال Botezatu.. وقال: "بعض حساباتنا التجريبية ما زالت ترسل هذا النوع المحدد من الرسائل الاقتحامية." وفي بيان أُرسل في وقت لاحق من يوم الخميس ، قالت ياهو إنها قامت بتصحيح الثغرة الأمنية.

"تعتمد ياهو على بيانات الأمان ومستخدمينا. على محمل الجد ، "وقال ممثل ياهو عبر البريد الإلكتروني. "لقد علمنا مؤخرًا بوجود ثغرة أمنية من شركة أمنية خارجية والتأكد من إصلاح الثغرة. نحن نشجع المستخدمين المعنيين على تغيير كلمات المرور الخاصة بهم إلى كلمة مرور قوية تجمع بين الأحرف والأرقام والرموز ولتمكين التحدي الثاني لتسجيل الدخول في إعدادات الحساب الخاصة بهم. "

نصح Botezatu المستخدمين لتجنب النقر على الروابط الواردة عبر البريد الإلكتروني ، وخاصة إذا تم اختصارها مع bit.ly. وقال إن تحديد ما إذا كان الرابط خبيثًا قبل فتحه قد يكون صعبًا بسبب هجمات كهذه.

في هذه الحالة ، جاءت الرسائل من أشخاص عرفهم المستخدمون - كان المرسلون في قوائم جهات الاتصال الخاصة بهم - وكان الموقع الخبيث جيدًا قال: "يبدو وكأنه سيبدو مثل بوابة" إم إس إن بي سي "المحترمة. "إنه نوع من الهجمات التي نتوقع أن تكون ناجحة للغاية."