198050

Demo eines Twitter-Wurms

23.03.2009 | 16:35 Uhr |

Forscher haben eine Angriffsmethode auf Nutzer von Twitter vorgestellt, die sich in dem Micro-Blogging-Dienst wie ein Wurm ausbreiten könnte. Der Angriff nutzt einen Programmierfehler in der Web-Schnittstelle von Twitter.

Der Micro-Blogging-Dienst Twitter erfreut sich weiter wachsender Beliebtheit. Es werden jedoch auch immer wieder Sicherheitslücken in Twitter entdeckt. So haben Forscher des Sicherheitsunternehmens Secure Science eine Schwachstelle entdeckt, die genutzt werden könnte, um einen Twitter-Wurm zu verbreiten. Sie haben zur Demonstration harmlosen Beispiel-Code veröffentlicht. Der könnte jedoch mit schädlichem Code kombiniert werden und so einen Wurm verbreiten.

Bei der entdeckten Schwachstelle handelt es sich um eine nicht näher bezeichnete XSS-Lücke (Cross-Site Scripting) in der Support-Website von Twitter. Das Demo-Script öffnet zunächst eine Warnmeldung und versendet dann im Namen des Benutzers eine vordefinierte Twitter-Nachricht. Sie lautet "@XSSExploits I just got owned!".

Nach Angaben von Lance James, Forschungsleiter bei Secure Science , könnte der Angriff derart modifiziert werden, dass keine Warnmeldung erfolgt. Der Text könnte in eine beliebige Sensationsmeldung geändert werden, um die Neugier potenzieller Opfer zu wecken. Wird dann noch ein Exploit für eine Browser-Schwachstelle eingebaut, könnte der Angreifer Malware einschleusen und die Kontrolle über die Rechner seiner Opfer erlangen.

Die Twitter-Entwickler könnten die Gefahr bannen, bevor etwas in dieser Art passiert, indem sie die XSS-Schwachstelle beseitigen. Es bleibe, meint Lance James, jedoch die Gefahr, dass weitere Sicherheitslücken ähnlicher Art entdeckt würden. Die Gefahr von Malware-Angriffen sei bei Twitter dadurch erhöht, dass wegen der Begrenzung auf 140 Zeichen oft Kurz-URLs (wie die von tinyurl.com) genutzt würden. Dadurch sei das tatsächliche Ziel eines Links nicht vorab erkennbar.

Man wolle Twitter nicht schaden, so James weiter. Ziel sei es vielmehr Twitter dazu zu bringen Sicherheitsaspekte mit höherer Priorität zu behandeln.

0 Kommentare zu diesem Artikel
198050