White hat hackere har oversvømmet VKontakte (VK) med spam på Valentine ‘ s Dag, som en del af en hævn sjov mod den russiske sociale netværk, efter at virksomheden har undladt at både lave og økonomisk belønning en sikkerhedsekspert en svaghed, rapporterede han, at sitet til et år før.
Hændelsen skete i sidste uge, på Valentinsdag, den 14 februar, og var indeholdt inden for få timer efter det begyndte, VKontakte holdet sagde i en VK væggen indlæg.
I hjertet af spam-kampagne var en orm, der er skabt af Baghosi, et fællesskab for Rusland-baseret social media app-udviklere.
Til at drive deres orm, Baghosi devs anvendes en sårbarhed påvirker VK, der blev opdaget ved et af sine medlemmer, og rapporterede, at det sociale netværk et år før.
Baghosi sagde VK undladt at anerkende, fejlrapporten, og heller ikke at løse problemet, endsige betale sikkerhedsekspert for hans bug jagt indsats.
Den faktiske orm opholdt sig i et script, skjult inde i en artikel kildekode. Når nogen har haft adgang til ondsindet side, for at læse den artikel, de skjulte orm ville sende et link til artiklen på VK grupper og sider læseren var styre.
Ormen også trukket tilfældigt anmeldelser fra VK app i Apple App Store og Google Play Butik sider.
Den Baghosi team udløst orm på VK på Valentine ‘ s dag, og artikel sprede sig som en steppebrand, med tusindvis af re-stillinger inden for få minutter.
Лучшее про взлом ВКонтакте pic.twitter.com/0InivvLsp9
— Awesome Mike (@AwesooomeMike) 14 Februar 2019
по вконтакте ходит ссылка, при клике на которую во всех группах, которые вы админите появляется вот такой пост с рандомным комментом pic.twitter.com/XJpEZrGTnJ
— анатолий ноготочки💅 (@A_Kapustin) 14 februar 2019
Во “ВКонтакте” произошел массовый взлом сообществ. Они все постят одну и ту же запись
Напишите в поиске сообщений “всё менъше” увидите pic.twitter.com/4NWpATeFQV
— Не Тв (@NeTVRussia) 14 Februar 2019
Во вконтакте массовый взлом? pic.twitter.com/62iu2PBrIl
— lidt ondt 🔥 (@foolinanutshell) 14 februar 2019
Den Baghosi holdet kom rene om, hvad de gjorde i en VK-indlæg. VK-holdet i første omgang forbudt Baghosi VK side, men senere omstødte den forbud, da det blev klart, spam oversvømmelse var bare en joke, og ingen bruger data blev stjålet eller indsamlet under angrebet.
VKontakte ikke svare på en e-mail undersøgelse, der søger yderligere oplysninger om sidste uges event. Virksomheden normalt håndterer sårbarhed rapporter via sin bug bounty program på HackerOne.
ZDNet vil gerne takke vores brugeren Miriama for hendes hjælp med denne rapport.
Relaterede sikkerhed dækning:
Microsoft fjerner otte cryptojacking apps fra officielle storeDirty Sok sårbarhed lader angribere få root-adgang på Linux systemsGoogle er at køre en auto-opdatering-til-HTTPS eksperiment i Chrome
En WordPress-kommercielle plugin bliver udnyttet i wildNew macOS sikkerhedshul kan ondsindede apps stjæle din Safari browserdata
Hacker lægger op til salg tredje runde af hackede databaser på den Mørke Web
Cryptomining malware spredes via AMERIKANSKE, BRITISKE og Australske regering steder TechRepublicGoogle forbud cryptocurrency minedrift udvidelser til Chrome CNET
Relaterede Emner:
Sikkerhed-TV
Data Management
CXO
Datacentre