Onderzoekers maken Wormy Twitter Attack

Computerbeveiligingsexperts hebben bedacht een nieuwe Twitter-aanval waarvan ze zeggen dat die zich viraal kan verspreiden, ongeveer zoals een worm op de microblogdienst.

De aanval, die donderdag online wordt gepost door onderzoekers van Secure Science, is een onschadelijk bewijs van concept dat gebruikers dwingt een vooraf bepaald twitterbericht te verzenden, maar het kan worden omgevormd tot een erg vervelende worm, zei Lance James, hoofdwetenschapper bij Secure Science. <"Je kunt een aanval koppelen met onze code en het zou gewoon de stront uit Twitter rukken," zei hij.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

De hack is vergelijkbaar met een clickjacking-aanval die vorige maand rondjes maakte op Twitter. Daar gebruikten hackers een stiekeme techniek om gebruikers te misleiden om op een link te klikken zonder het te beseffen. Die link zou het Twitter-bericht plaatsen met de boodschap "klik niet" samen met een URL.

Deze keer vonden de onderzoekers van Secure Science een manier om te profiteren van een webprogrammafout op de ondersteuningssite van Twitter om het ongewenste bericht te plaatsen. Na een waarschuwingsbericht plaatst de testcode van Secure Science de boodschap: "@XSSExploits I got owned!" naar het profiel van het slachtoffer.

Een kwaadwillende gebruiker zou het echter nog veel erger kunnen doen met deze bug, echter, zei James. De aanval kon worden gewijzigd zodat er geen waarschuwingsscherm was en dit kon worden versterkt met een sensationeel bericht dat gebruikers eerder zouden klikken. Als het zou worden gecombineerd met kwaadwillende browseraanvalcode, zou het kunnen worden gebruikt om de controle over de machines van slachtoffers te nemen, zei James.

"Ik houd mijn adem in de hoop dat niemand iets stom doet op dit moment," zei hij.

Twitter kan de aanval uitschakelen door de cross-site scripting-fout te verhelpen die de onderzoekers van Secure Science gebruiken, maar als een andere soortgelijke bug op de site zou verschijnen, zouden gebruikers opnieuw met hetzelfde probleem worden geconfronteerd.

Het probleem wordt nog verergerd door het feit dat Twitterers vanwege de 140 tekens van Twitter verkorte weblinks zoals Tinyurl.com gebruiken en vaak geen idee hebben of ze wel of niet op een betrouwbare weblink klikken, aldus James.

Twitter's beveiligingspraktijken staan ​​de laatste tijd in de schijnwerpers omdat de service steeds populairder is geworden. In januari stelde het bedrijf een volledige veiligheidsbeoordeling in nadat hackers toegang hadden gekregen tot de accounts van verkozen president Barack Obama, Fox News en CNN. James zei dat hij hoopt dat zijn demonstratie Twitter zal stimuleren om veiligheid een prioriteit te maken.

"We willen Twitter geen schade toebrengen," zei hij.