Witte hoeden verspreid VKontakte worm na het sociale netwerk niet betalen bug bounty

Witte hoed hackers hebben overspoeld VKontakte (VK) met spam op Valentijnsdag als onderdeel van een revanche prank tegen het russische sociale netwerk nadat de onderneming niet van beide repareren en het financieel belonen van een security-onderzoeker voor een kwetsbaarheid meldde hij zich bij de site een jaar eerder.

Het incident gebeurde vorige week, op Valentijnsdag, 14 februari, en werd opgenomen binnen enkele uren na het begon, de VKontakte team zei in een VK wall post.

In het hart van de spam-campagne was een worm gemaakt door Baghosi, een community voor Rusland-based social media app-ontwikkelaars.

Aan de macht van hun worm, Baghosi devs gebruik gemaakt van een kwetsbaarheid die van invloed VK dat werd ontdekt door één van haar leden, en gemeld aan het sociale netwerk een jaar eerder.

Baghosi zei VK gefaald in het erkennen van de bug-rapport, en ook niet in geslaagd om het probleem te verhelpen, laat staan betalen de security-onderzoeker voor zijn bug-jacht inspanningen.

De werkelijke worm verbleven in een script verborgen in een artikel van de broncode. Wanneer iedereen toegang tot de kwaadaardige pagina om het artikel te lezen, de verborgen worm zou een link plaatsen naar het artikel op de VK groepen en pagina ‘ s de lezer werd beheren.

De worm ook getrokken steekproeven van de VK app van de Apple App Store en de Google Play Store pagina ‘ s.

De Baghosi team unleashed de worm op VK op Valentijnsdag, en het artikel verspreidde zich als een lopend vuurtje, met duizenden van re-posts binnen enkele minuten.

De Baghosi team kwam schoon over wat ze deden in een VK post. De VK team in eerste instantie verboden de Baghosi VK pagina, maar later keerde de ban toen werd het duidelijk dat de spam vloed was gewoon een grap, en geen gebruikersgegevens gestolen werd, of die verzameld zijn tijdens de aanval.

VKontakte niet reageren op een e-mail onderzoek op zoek naar extra informatie over vorige week het geval. Het bedrijf verwerkt meestal kwetsbaarheid rapporten via de bug bounty ‘ programma op HackerOne.

ZDNet danken onze gebruikers Miriama voor haar hulp bij dit rapport.

Verwante zekerheid:

Microsoft verwijdert acht cryptojacking apps van de officiële storeDirty Sok kwetsbaarheid laat aanvallers krijgen root-toegang op Linux systemsGoogle met een auto-update-naar-HTTPS experiment in Chrome
Een andere WordPress commerciële plugin wordt gebruikt in de wildNew macOS lek kunt schadelijke apps stelen van uw Safari browsen geschiedenis
Hacker zet voor de verkoop van de derde ronde van de gehackte databases op de Donkere Web
Cryptomining malware verspreid via AMERIKAANSE, BRITSE en Australische regering sites TechRepublicGoogle bans cryptocurrency mijnbouw extensies voor Chrome CNET

Verwante Onderwerpen:

Beveiliging TV

Data Management

CXO

Datacenters