Kaspersky Lab opublikował informację o ataku na serwis YouTube.com, w wyniku którego komputery wielu jego użytkowników zostały zainfekowane szkodliwymi programami. Autorką tekstu jest Marta Janus, analityk zagrożeń z Kaspersky Lab Polska, członek GReAT (Global Research and Analysis Team).
Jak to bywa w niespokojnych czasach, ataku można spodziewać się zewsząd. Nawet oglądając filmy na YouTube w domowym zaciszu nie możemy czuć się bezpieczni.
W niedzielę, 4 lipca, wielu fanów pewnej popowej gwiazdki o nazwisku Justin Bieber spotkała przykra niespodzianka: oglądając na youtube.com teledyski swojego idola, byli oni bombardowani wyskakującymi komunikatami o jego śmierci, bądź przekierowywani na strony typu „tylko dla dorosłych”. Fakt ten dosyć szybko wzbudził zainteresowanie specjalistów z dziedziny bezpieczeństwa IT i okazało się, iż serwis YouTube padł ofiarą klasycznego ataku XSS (Cross-Site Scripting).
Ataki tego typu polegają na umieszczeniu w kodzie strony internetowej szkodliwego skryptu, który następnie jest przetwarzany przez przeglądarkę użytkownika tak, jak pełnoprawny element tej strony. Szkodliwy kod jest „wstrzykiwany” z wykorzystaniem luki w mechanizmie pobierania danych od użytkownika. Wiele stron – przede wszystkim forów i portali internetowych – bazuje na tym, że przetwarza i wyświetla tekst, który wcześniej użytkownik wpisuje w odpowiednim formularzu. Jeśli nie ma stosownych zabezpieczeń, chroniących stronę przed przetwarzaniem niepoprawnych bądź niedozwolonych danych, atakujący może z łatwością dopisać do jej kodu wszystko, co mu się żywnie podoba – na przykład skrypt przekierowujący do innej witryny lub pobierający szkodliwe oprogramowanie. Każdy kolejny użytkownik przeglądający daną stronę zostanie narażony na działanie tego skryptu.
W przypadku serwisu YouTube dziurawy okazał się być mechanizm dodawania komentarzy. Odpowiednio spreparowany tekst komentarza pozwalał na wstrzyknięcie dowolnego kodu HTML, który następnie był prawidłowo interpretowany przez przeglądarkę. Co za tym idzie, używając znaczników HTML można było również wstrzykiwać do kodu strony skrypty Javascript czy VBS.
Reakcja ze strony Google była szybka i efektywna – krytyczna luka, która pozwoliła na ten atak, została naprawiona jeszcze w dniu opublikowania, a niebezpieczne komentarze usunięte z serwisu.
Jednak cała ta afera powinna dać do myślenia: YouTube to jeden z największych i najczęściej odwiedzanych serwisów internetowych. Jak to możliwe, by tak poważny błąd uszedł uwadze programistów? Jak wielu użytkowników zostało zainfekowanych właśnie w ten sposób? Jak wiele innych znanych portali cierpi na podobną przypadłość? Na te pytania nie da się jednoznacznie odpowiedzieć, nie oznacza to jednak, że nic nie da się zrobić.
„Nie ulega wątpliwości, że każdy właściciel witryny internetowej – niezależnie czy jest to osoba prywatna, firma, czy też ogromny koncern – powinien z większą niż dotychczas starannością sprawdzać poziom bezpieczeństwa swojej strony i, w razie potrzeby, korygować wszystkie znalezione luki oraz niedociągnięcia”, mówi Marta Janus, analityk zagrożeń z Kaspersky Lab Polska, członek Global Research and Analysis Team (GReAT).
„Nie możemy cofnąć czasu i naprawić szkód, które zostały już wyrządzone. Możemy jednak uczyć się na cudzych błędach i podejmować kroki, aby zapobiec przyszłym incydentom.” – dodaje.
źródło: Kaspersky Lab
Wpisy promowane
- Polecane samochody do miasta w atrakcyjnym finansowaniuMałe samochody osobowe od lat cieszą się ogromną popularnością wśród mieszkańców dużych miast i aglomeracji. Mając na uwadze potrzeby dynamicznego ...
- Inwestowanie długoterminowe: dlaczego wszystko jest lepsze od gotówki?Zastanawiając się nad sposobami lokowania kapitału, wielu z nas instynktownie skłania się ku trzymaniu środków w gotówce. Wydaje się to ...
Wydarzenia
19. edycja Studenckiego Festiwalu Informatycznego
04.04.2024 - 06.04.2024
Najnowsze wpisy
- W lutym e-sklepy IdoSell rosły szybciej niż rynekSklepy internetowe, które korzystają z usług IdoSell, rosną znacznie szybciej niż rynek e-commerce w Polsce. Tak wynika z danych Grupy ...
- Dłuższy luty zwiększył sprzedaż – nowy raport BaseLinkerAnalitycy platformy BaseLinker– największego w regionie CEE systemu do zarządzania i automatyzacji sprzedaży online – opracowal najnowszy odczyt BaseLinker Index. ...
- Restimo pozyskuje 2 mln zł na dalszą cyfryzację gastronomiiRestimo ogłosiło dzisiaj zamknięcie drugiej rundy inwestycyjnej na etapie seed w wysokości 2 mln zł od prywatnych inwestorów. Spółka stworzyła ...
- Nest Bank i Shoper wspólnie wspierają e-przedsiębiorcówShoper nawiązał współpracę z Nest Bankiem. Dzięki temu klienci Shoper mogą skorzystać z oferty konta, limitu lub kredytu firmowego w ...
Zapoznaj się z ofertą wpisów promowanych oraz zasadami udzielania patronatów.