NVidia.com vulnérable aux XSS

Après nos amis roumains, voici le tour des argentins!

Le site argentin de NVidia a une faille de type XSS sur un de ses pages : NVidia's Widget.


La page /content/widgets/widget_home.asp permet d'injection du code au travers du choix de la langue ?lang=la. Il suffit dans ce cas-ci de remplacer 'la' par un petit script et voila!

J'ai été un peu mauvaise langue en parlant uniquement des argentins, car les versions du site chinoise, mexicaine, brésilienne, japonaise, colombienne, chilienne sont également faillite. En cause toujours cette page "Widget".

Rogue : RESpyWare, petit frère de ReAnti

Il y a tout juste 4 jours je vous parlais d'un nouveau faux-antivirus de la famille des Winiguard, ReAnti.

Aujourd'hui c'est un de ses petit frère (et surement pas le dernier) qui va tenir la Une : RESpyWare.


Rien de neuf par rapport à ses prédécesseurs. Une fois installé (volontairement par un utilisateur trompé, ou par infection), il installe un certain nombre de malwares qu'il détectera ensuite lors de son scan. Pour vous désinfecter, il demandera l'achat d'une licence.

Ce logiciel est dangereux en plus d'être inutile : il ne détectera pas de malware sur votre machine, sauf ceux qu'il a lui même installé!

Si vous doutez d'un anti-malware, rendez vous sur la Gallerie Lavasoft des Rogues, qui recense tous les nouveaux usurpateurs.

Vulnérabilité XSS pour l'agence roulaine du développement régional

Dans le post précédent sur le piratage de la police roumaine, je concluais par "à qui le tour?". Cette fois ci c'est à l'agence pour le développement de la région Nord-Est de Roumanie de passer à la casserole.

Une faille XSS toute bête présente dans la barre de recherche, qui permet de faire un peu tout ce que l'on veut (alerte, iframe, ...) :


Egalement possible une injection iframe ("><iframe src="http://news-of-security.blogspot.com"></iframe>) ou des actions sur le code HTML même de la page (">document.body.inner.HTML="<<style>body{visibility:hidden; background: black;}<</style><<div style="visibility:visible;><<br><<h1><<font color="red">Salut les Zouzous<</h1><</font><<br>)

Du classique, du simple, mais qui peut très vite amener à des actions de phishing (entre autre) sur le partenaire de l'agence.

Le site de la police roumaine piraté

Décidément très actif cette semaine les roumains. Après Symantec qui a été piraté, c'est au tour du mot de passe administrateur de la base SQL du site de la police roumaine.

Grâce à des erreurs SQL un peu trop bavardes, le pirate (NeOh) a réussis à faire parler le site :

Le host

Les bases de données

et le mot de passe admin

A qui le tour maintenant?

L'accident de voiture de Tiger Woods exploité

Le célèbre golfeur Tiger Woods a eu un accident de voiture vendredi 27 novembre. Dans un état grave, la nouvelle a traversé le web ... il aurait même été déclaré mort sur Wikipédia (information retirée).

Face à un événement de cette ampleur, des pirates ont mis en place des pages internet très bien référencées sur les mots clés tournant atours de l'accident de la star.

Voici un exemple. Sur la recherche "tiger woods car accident" nous tombons très vite sur cette page :

Si nous cliquons sur le lien vers la vidéo, changement de site, et c'est alors un lecteur vidéo, sans nom, qui s'affiche :

Bizarre, bizarre, car si l'on survole le "lecter vidéo, nous voyons dans la barre de lien en bas de la fenêtre que c'est en réalité un lien vers un exécutable. Doutes confirmés lors de l'inspection du code source :
Il ne s'agit pas d'un lecteur vidéo, mais d'une simple image avec un lien pointant vers un fichier malveillant.

Si ces pages sont si bien référencées sur la recherche Tiger Woods, c'est qu'elle étaient déjà utilisé pour appater les fans de détails people. En effet le couple Woods/Uchitel battrait de l'aile, c'est pourquoi la vidéo porte le nom "Tiger Woods Rachel Uchitel" et que l'allusion à l'accident de voiture n'est qu'en commentaire.

Les joueurs de World of Warcraft sont tous de tristes célibataires masculins

Une vision caricaturale, mais qui montre bien le point de vue des spammers. Dans un récente campagne, des joueurs du célèbre MMORPG, Worl of Warcraft, ont pu recevoir dans leurs boites au lettres un mail intitulé "Do you like to find a girlfriend like me ?" (Aimerais tu trouver une petite amie comme moi?). Le corps du message est celui-ci :

Wish to have a boyfriend
Be able to protect me, take care of me
Intolerable lonely night and would like to have your care.
do you Willing ?

This is my photos.

En pièce jointe, on trouve une archive my photos.rar. Un échantillon :

Difficile de résister aux arguments de la demoiselle, on est alors tenté d'ouvrir les autres images contenues dans des dossiers aux noms évocateurs : my vagina, my vulva photo, ... charmant!

Toutes les photos présentes dans l'archive rar sont des vraies, en totalement innofensives. Le but est de pousser le joueur à lancer une des vidéos également présentes : My video (bathing–Masturbation )I would like to find a boyfriend for make love.exe ou My video (urination–Masturbation)I would like to find a boyfriend for make love.exe .

L'extension *.exe devrait déjà mettre la puce à l'oreille de la victime. En effet derrière ces noms très aguicheurs se cache un voleur de mot de passe WoW.

Alors les joueurs de WoW ... des célibataires esseulés?

Source : sophos.com

De faux avertissements ToS sur youtube

Vous vaquez comme souvent sur youtube, regardant de tout et de rien. Puis après avoir regarder quelques prises de catch spectaculaire, vous cliquez sur une "video related" titré "Ortiz vs. Griffin - UFC". Pas de bol, un message rappelant les Terms of Service de Youtube apparait :


Le message vous annonce que la vidéo que vous tentez de visualiser est la propriété exclusive de la chaine américaine ABC. Pour la voir il suffit de s'enregistrer sur le site watchcharma2009.tk.
Si vous vous rendez sur l'URL donné, vous êtes redirigé vers satellitedirect.tv.

Pour le moment se genre de pratique est relativement rare, et les comptes utilisateurs ayant postés ce genre de vidéos sont très vite bannis par Youtube. Mais on pouraait très bien voir ce type de pratique se généraliser, à la manière des groupes "savoir qui regarde ton profil" sur Facebook, oùil faudrait soit disant se rendre sur un autre site et cliquer sur des pubs afin de débloquer la vidéo sous Youtube.