Un Ataque de 'Al Pasar el Ratón Sobre' en Twitter Permite la Inyección de Script y Redirige los Usuarios a Sitios Porno
Fue descubierto esta semana en Twitter, un agujero de seguridad que explotó más de 40.000 usuarios en 10 minutos a través de diferentes enlaces de color de Tweet cuando se cernía sobrelos causando una caja emergente con un texto que aparezca que se carga una página web de terceros.
Este reciente ataque a la seguridad de Twitter se está difundiendo a través de los enlaces que exploran la función 'Al pasar el Ratón sobre'. El 'Pasar el Ratón sobre' o 'passarRatónSobre' es un método que hace una acción cuando el usuario mueve el puntero del ratón sobre un enlace o un objeto. En algunos casos, el incidente de pasar sobre en Twitter en realidad podría llevar a una página no deseada en el navegador del usuario. Según Sophos, una de las víctimas de este incidente fue Sarah Brown, esposa del primer ministro británico, cuya exploración de un enlace en Twitter se muestra en la Figura 1 abajo. El Twitter de la Señora Brown se dirige a una página web porno japonés.
Figura 1. Crédito: TechCrunch - El enlace de Sarah Brown explotado en Twitter, utilizando el ataque de Pasar el Ratón sobre.
La funcionalidad de pasar el ratón sobre es bastante común en muchos sitios, lo que añade una interacción adicional a lo que suele es un simple enlace a una dirección URL. Básicamente, cuando se pasa sobre algo, lo hará aparecer un objeto que contiene un texto adicional, imágenes o cargas otro sitio en el navegador.
Twitter utiliza el método de Pasar el Ratón Sobre, como es el caso cuando se pasa el ratón sobre un nombre de usuario o perfil de enlace. Al hacerlo, aparecerá un cuadro con información adicional sobre el perfil que se va a plantear antes de hacer clic en él. Lo mismo ocurre en este ataque descubierto a principios de esta semana, la única diferencia es que se está extendiendo sin saberlo, por los usuarios regulares de Twitter, lo que puede tweet el enlace roto a otros seguidores. Sabese que los usuarios retweet los enlances a sus seguidores, no sabiendo que él es/fue explotada por los hackers.
Twitter es bien conocido por los hackers que explotan las redes sociales, tanto para atacar a los usuarios a través de métodos como "phishing", o en último caso, llevar estos usuarios a malware. El caso reciente que está utilizando XSS cross-site scripting (XSS - una vulnerabilidad de seguridad informática que se encuentra en las aplicaciones de red que permiten a los hackers inyectar secuencias de comandos pre-programados en las páginas web al lado del servidor, para realizar acciones maliciosas) es también una forma conocida para los atacantes difundir malware o realizar otras acciones maliciosas en Internet. En este caso reciente, Twitter fue apenas una plataforma que los hackers pudieran utilizar fácilmente, porque sus usuarios ya deben estar familiarizados con los cuadros que aparecen cuando se pasa el mouse encima de los enlaces/perfil al pasar el ratón sobre él.
Estos enlaces 'Pasar el Ratón sobre' explotados, eran limitados a Twitter.com, pero creemos que este juego puede ser una prueba, de modo que los hackers puedan ver si pueden salirse con la explotación de otros enlaces maliciosos, que en realidad pueden infectar equipos con malware. Twitter estaba consciente de la situación el día en que se descubrió y desde entonces ha publicado un artículo en su blog y se disculpó por el incidente "Pasar el Ratón sobre", notificando a los usuarios que se habían resuelto. El mes pasado, un incidente similar fue descubierto y fijo, haciéndonos creer que no hemos visto lo último de este tipo de operacion en Twitter, y posiblemente en otras redes sociales.
Como un usuario de Twitter, ¿estás constantemente preocupado de que su computadora puede infectarse debido a que está dirigida a los sitios de malware montado por hackings del Twitter?