Usuários no Twitter se depararam com um retweet desconhecido de um usuário chamado ‘Matsta’ na manhã desta terça-feira (21). O retweet (também conhecido como RT) é uma forma de você repassar um comentário feito por alguma pessoa. O problema ocorre que este RT é enviado de forma automática, sem o consentimento do usuário.
O código utiliza um ataque XSS Persistente, bastando que alguém acesse uma uma página infectada para que a tela do Twitter fique “travada”. Na verdade o código é injetado de tal forma que o simples fato do usuário passar com o mouse pela tela seja feito tal retweet. Seguindo a ideia do código, seria possível a execução de qualquer código, possibilitando inclusive o roubo da conta, embora isso não tenha sido observado.
O problema está no processamento de links. O Twitter não conseguiu lidar corretamente com o fato de um @ (que linka para outro perfil) estar dentro de um link comum (começado com http://). Essa combinação não foi pensada pelos programadores e acabou gerando uma vulnerabilidade.
É possível que milhares de perfis no Twitter foram comprometidos. Em apenas 5 minutos o Twitter registrou certa de 40.000 retweets. Outro fato foram os “Trending Topics” (Tópicos Comuns) serem termos como “onmouseover”, “exploit”, “xss” e “being hacked”.
O site da empresa de segurança Sophos divulgou um artigo sobre a falha.
Recomenda-se a utilização de algum programa para acesso ao Twitter, como o TweetDeck, ao invés do acesso pela Web, ou o bloqueio de JavaScript (como no programa NoScript). Nenhuma alteração ocorre no PC da vítima e, nos códigos observados pela Linha Defensiva, nenhuma informação é roubada.
O Twitter informou que a falha já foi corrigida, embora alguns links ainda estejam carregando o código malicioso inalterado. A falha usada é diferente daquela utilizada pelos vírus anteriores, que eram do tipo XSS Refletido (Não-Persistente). Antes, era preciso clicar no link e o retweet não continha nenhum código malicioso em si mesmo. Dessa vez, é o próprio tweet que carrega o código, o que significa que o Twitter precisa modificar sua base de dados para corrigir os links que foram processados incorretamente.
Linha Defensiva 