Los usuarios de Twitter se han visto sorprendidos por una larga cadena de caracteres raros que aparecían en su timeline.

Se trata de una vulnerabilidad en Twitter que hace que cualquier usuario que opere a trav√©s de la web¬†twitter.com, al pasar el puntero del rat√≥n por el tweet que contiene esta cadena extra√Īa, le pueda pasar diferentes cosas inesperadas:

  • Autom√°ticamente, y sin que √©l haga nada, enviar√° a sus followers la cadena maliciosa, contribuyendo as√≠ a su distribuci√≥n
  • Le pueden aparecer mensajes extra√Īos con letras gigantes, cuadros de di√°logo donde se lee ‚ÄúHola‚ÄĚ, cuadros negros donde deber√≠a estar el texto de un tweet, etc.
  • Cuando cualquiera visita su perfil, √©ste puede ser redirigido a cualquier otra direcci√≥n web

rain2

El origen podría ser una cuenta creada en Twitter, llamada Rainbow.

Es un gusano, ya que se autorreplica y además su capacidad de distribución es altísima y a una gran velocidad: hasta 1.000 retweets del código malicioso se están registrando cada 20 o 25 segundos.

Al principio, las primeras inyecciones de javascript eran simples bromas, aunque con el paso del tiempo, ha ido evolucionando, y parece que algunos usuarios con otras intenciones est√°n utilizando dicha vulnerabilidad para hacer cosas m√°s serias.

El mayor peligro podría ser que la URL utilizada en el ataque usara alguna vulnerabilidad para infectar nuestros equipos. Si un delincuente hace que además de hacer un RT del código, la URL implicada usara técnicas de Drive-by-Download, estaríamos hablando de millones de víctimas potenciales, aunque es poco probable ya que presumiblemente twitter tape el agujero antes de que esto suceda.

Hemos creado este ejemplo para que veais cómo están explotando este agujero de seguridad.

http://errorentwitter.com/poc@”onmouseover=”javascript:window.location=’https://www.pandasecurity.com/’;”/

En este caso, al pasar el ratón por encima de este tweet, el navegador web te redirigiría sin preguntar a la página web de Panda Security (con lo que nuestros amigos de web estarían muy contentos registrando muchas visitas nuevas en Google Analytics, algo que sin duda es posible que empiezan a utilizar muchos spammers ;-).

Para finalizar, un consejo para evitar males mayores: cualquier cliente de Twitter que no ejecute javascript, como TweekDeck, nos permite seguir utilizando la red social sin ning√ļn riesgo. As√≠ que, evitemos utilizar la web, al menos, hasta que se solvente la vulnerabilidad.

Actualizado – 16:30 – 21/09/2010

Twitter ya ha solucionado esta vulnerabilidad. Puedes ver los detalles aquí.