Twitter подвергся атаке XSS-червей

За субботу и воскресенье социальная сеть Twitter была атакована, по меньшей мере, тремя червями. Руководство службы микро-блогов пообещало пользователям исправить ошибки кода. Ответственность за проведенные атаки взял на себя 17-летний Майкл Муни (Michael Mooney), известный также под именем Mikeyy.

По словам Микко Хиппонена (Mikko Hypponen) из компании F-Secure, в субботу некоторые пользователи сервиса начали жаловаться на то, что от их имени создаются записи, рекламирующие сайт StalkDaily.com. Их друзья, которые прошли по ссылке попадали на действующий по этому адресу javascript, который использовал XSS уязвимость для заражения их профилей на Twitter.

После этого сообщения с рекламой StalkDaily.com начинали автоматически рассылаться от вновь зараженных профилей. Более того, заразиться пользователи Twitter могли, просто просмотрев страничку с инфицированным профилем.

Всего за выходные было выявлено три различных разновидности этого червя, использующие разные XSS-уязвимости: едва сотрудники Twitter отбивались от одного, как вскоре появлялся следующий.

Хиппонен советует пользователям Twitter не заходить на другие профили, не ходить по ссылкам, а ещё лучше - попросту отключить исполнение javascript в браузере.

Владельцем StalkDaily.com оказался некий Майкл Муни (Michael Mooney), проживающий в Луизиане подросток. В интервью изданию Net News Daily он признался, что написал червяков от скуки.

«Была середина ночи, и мне нечего было делать. Около недели назад я заметил XSS-уязвимость и решил её использовать».

Между тем в понедельник на пользователей Twitter была совершена очередная атака. По словам Хиппонена, атаку начал пользователь cleaningUpMikey.

В руководстве Twitter обещают принять самые решительные меры в связи с атаками. Муни осознаёт, что может поплатиться свободой за свои действия, но "не беспокоится".

Также Муни уверяет, что не воровал приватных данных пользователей. Администрация Twitter тоже утверждает, что в результате атак не пострадали пароли, телефонные номера или другая критическая информация.