याहू ने छेद प्लग किया है जो ईमेल खातों को अपहृत करने की इजाजत देता है

हाल ही में पता चला ईमेल हमले अभियान के पीछे हैकर्स याहू उपयोगकर्ताओं के ईमेल खातों को हाइजैक करने और स्पैम के लिए उनका उपयोग करने के लिए एक भेद्यता का शोषण कर रहे हैं, एंटीवायरस विक्रेता से सुरक्षा शोधकर्ताओं के मुताबिक Bitdefender।

हमला विषय उपयोगकर्ताओं में उनके नाम के साथ एक स्पैम ईमेल प्राप्त करने के साथ शुरू होता है और एक छोटा सा "छोटा पृष्ठ" संदेश के बाद एक छोटा सा छोटा सा लिंक मिलता है। लिंक पर क्लिक करने से उपयोगकर्ताओं को एमएसएनबीसी समाचार साइट के रूप में मजाक करने वाली वेबसाइट पर ले जाता है जिसमें घर से काम करते समय पैसे कमाने के बारे में एक लेख शामिल है, बिटकडेफेंडर शोधकर्ताओं ने बुधवार को एक ब्लॉग पोस्ट में कहा।

पहली नज़र में, ऐसा कोई अलग नहीं लगता अन्य काम-से-घर घोटाले साइटों से। हालांकि, पृष्ठभूमि में, विज़िटर की याहू सत्र कुकी चोरी करने के लिए याहू डेवलपर नेटवर्क (वाईडीएन) ब्लॉग साइट में जावास्क्रिप्ट कोड का एक टुकड़ा क्रॉस-साइट स्क्रिप्टिंग (एक्सएसएस) भेद्यता का फायदा उठाता है।

[आगे पढ़ने: कैसे करें अपने विंडोज पीसी से मैलवेयर हटाएं]

सत्र कुकीज खुले दरवाजे

सत्र कुकीज लॉग-इन उपयोगकर्ताओं को साइन आउट होने तक याद रखने के लिए ब्राउज़र के अंदर वेबसाइटों द्वारा संग्रहीत पाठ के अद्वितीय तार हैं। वेब ब्राउज़र एक-दूसरे की नीतियों जैसे कि सत्र कुकीज तक पहुंचने से अलग-अलग टैबों में खोले गए वेबसाइटों को रोकने के लिए समान मूल नीति नामक एक सुरक्षा तंत्र का उपयोग करते हैं। (सुपरक्यूकीज़ से खुद को कैसे सुरक्षित रखें। ")

समान मूल नीति आमतौर पर प्रति डोमेन लागू होती है। उदाहरण के लिए, google.com yahoo.com के लिए सत्र कुकीज़ तक नहीं पहुंच सकता है, भले ही उपयोगकर्ता दोनों में लॉग इन हो एक ही ब्राउज़र में एक ही समय में वेबसाइटें। हालांकि, कुकी सेटिंग्स के आधार पर, सबडोमेन अपने मूल डोमेन द्वारा निर्धारित सत्र कुकीज़ तक पहुंच सकते हैं।

यह याहू के साथ मामला प्रतीत होता है, जहां उपयोगकर्ता लॉग इन रहता है डेवलपर.याहू डॉट कॉम सहित वे याहू सबडोमेन जाते हैं।

फर्जी एमएसएनबीसी वेबसाइट से लोड किया गया नकली जावास्क्रिप्ट कोड विज़िटर के ब्राउजर को डेवलपर.याहूoo.com को विशेष रूप से तैयार किए गए यूआरएल के साथ कॉल करने के लिए मजबूर करता है जो एक्सएसएस भेद्यता का फायदा उठाता है और अतिरिक्त जावास्क्रिप्ट निष्पादित करता है developer.yahoo.com सबडोमेन के संदर्भ में कोड।

यह अतिरिक्त जावास्क्रिप्ट कोड याहू उपयोगकर्ता की सत्र कुकी पढ़ता है और इसे हमलावरों द्वारा नियंत्रित वेबसाइट पर अपलोड करता है। कुकी का उपयोग तब तक पहुंचने के लिए किया जाता है। आर के ईमेल खाते और स्पैम ईमेल अपने सभी संपर्कों को भेजें। एक मायने में, यह एक एक्सएसएस संचालित, स्व-प्रचार ईमेल कीड़ा है।

शोषित एक्सएसएस भेद्यता वास्तव में SWFUpload नामक एक वर्डप्रेस घटक में स्थित है और वर्डप्रेस संस्करण 3.3.2 में पैच किया गया था जिसे अप्रैल 2012 में जारी किया गया था, बिट डिफेंडर शोधकर्ताओं ने कहा। हालांकि, वाईडीएन ब्लॉग साइट वर्डप्रेस के पुराने संस्करण का उपयोग कर प्रतीत होता है।

एक्सप्लॉयट रिपोर्ट, स्क्वैश

बुधवार को हमले की खोज करने के बाद, बिट डिफेंडर शोधकर्ताओं ने कंपनी के स्पैम डेटाबेस की खोज की और लगभग इसी तरह के संदेश पोस्ट किए महीने के दौरान गुरुवार को बिटकडेफेंडर में एक वरिष्ठ ई-खतरा विश्लेषक बोगदान बोटेजातु ने कहा।

"इस तरह के हमले की सफलता दर का आकलन करना बेहद मुश्किल है क्योंकि यह सेंसर नेटवर्क में नहीं देखा जा सकता है" कहा हुआ। "हालांकि, हम अनुमान लगाते हैं कि पिछले महीने में हमने जो स्पैम संसाधित किया है, वह लगभग एक प्रतिशत इस घटना के कारण होता है।"

बिटडेफेंडर ने बुधवार को याहू को भेद्यता की सूचना दी, लेकिन यह अभी भी गुरुवार को शोषक साबित हुआ, बोटेजातु ने कहा । उन्होंने कहा, "हमारे कुछ परीक्षण खाते अभी भी इस विशिष्ट प्रकार के स्पैम को भेज रहे हैं।" 99

गुरुवार को भेजे गए एक बयान में, याहू ने कहा कि उसने भेद्यता को धक्का दिया था।

"याहू सुरक्षा और हमारे उपयोगकर्ताओं का डेटा लेता है गंभीरता से, "एक याहू प्रतिनिधि ने ईमेल के माध्यम से कहा। "हमने हाल ही में बाहरी सुरक्षा फर्म से भेद्यता के बारे में सीखा है और पुष्टि की है कि हमने भेद्यता तय की है। हम संबंधित उपयोगकर्ताओं को अपने पासवर्ड को एक मजबूत पासवर्ड में बदलने के लिए प्रोत्साहित करते हैं जो अक्षरों, संख्याओं और प्रतीकों को जोड़ती है और दूसरी लॉगिन चुनौती को सक्षम करने के लिए उनकी खाता सेटिंग्स। "

बोटेजातु ने उपयोगकर्ताओं को ईमेल के माध्यम से प्राप्त लिंक पर क्लिक करने से बचने की सलाह दी, खासकर यदि उन्हें bit.ly से छोटा कर दिया गया हो। यह निर्धारित करना कि यह खोलने से पहले एक लिंक दुर्भावनापूर्ण है या नहीं, इस तरह के हमलों के साथ मुश्किल हो सकती है।

इस मामले में, संदेश उन लोगों से आए थे जिन्हें उपयोगकर्ता जानते थे- प्रेषक अपनी संपर्क सूचियों में थे- और दुर्भावनापूर्ण साइट अच्छी थी सम्मानित एमएसएनबीसी पोर्टल की तरह दिखने के लिए तैयार, उन्होंने कहा। "यह एक प्रकार का हमला है जिसे हम अत्यधिक सफल होने की उम्मीद करते हैं।"