Skype extension for Firefox BETA 2.2.0.95 Clipboard Writing Vulnerability

Znalazłem błąd w dodatku skype’owym do Firefoxa. Pozwala on na zapisanie własnej wartości do schowka systemowego. Co ciekawe, dodatek jest domyślnie instalowany wraz z programem Skype, zatem można się spodziewać dużej ilości zagrożonych komputerów. Oczywiście powodzenie ataku zależy od pewnej interakcji z użytkownikiem, więc luka nie jest krytyczna.

Luka jest podobna do niedawno odkrytego problemu związanego z dostępem do schowka systemowego poprzez Adobe Flasha i ActionScript. W tym wypadku napastnik również może manipulować zawartością schowka.

Tutaj możesz przetestować błąd.

prawiczek25 czyli naciąganie ludzi..

Część z Was być może słyszała (i może nawet ją odwiedziła) o stronie zemsta-za-zdrade.pl, ‚na której pewien mężczyzna opowiada historię swojej niewiernej partnerki’. Nie było by w tym nic dziwnego, gdyby nie to, że cała ta historia została wymyślona by wyłudzać pieniądze. W jaki sposób? W treści strony można było wykonać ‚Test IQ’ za wynik którego trzeba było oczywiście zapłacić, wysyłając sms’a na podany numer (koszt 23.18 zł).

Sprawę nagłośnił i opisał między innymi hacking.pl: http://hacking.pl/pl/news-15001-Zemsta_za_zdrade_To_test_IQ.html

Tymczasem przed chwilą natknąłem się na nową stronę, z równie szaloną misją; cytuje: ‚Apel prawiczka! Pomóż mi stracić dziewictwo!’. Rzekomy prawiczek opowiada o potwornej zdradzie swojej niedoszłej żony, okropnym bólu i ranie, jaką pozostawił ten związek w jego życiu. I tutaj dochodzimy do sedna sprawy. Autor pisze: „(…) dlatego założyłem się z moją przyjaciółką — jeśli uda mi się uzbierać 5 milionów odwiedzin na tej stronie, w ciągu 1 miesiąca, ona pomoże mi z moim „problemem” i spędzi ze mną noc. Jeśli przegram, przez tydzień będę jej niewolnikiem wykonującym wszystkie jej polecenia.”.

Doświadczeni użytkownicy internetu od razu wyczują podstęp. Jeżeli myślisz że ta historia jest prawdziwa, czytaj dalej, postaram się zdemaskować prawdziwy cel istnienia tej strony.

Zobaczmy na początku jakich sąsiadów posiada strona. Użyjmy do tego narzędzia typu reverse IP domain check. Wynik jest trochę zaskakujący, prawda?

…
prawiczek25.pl has the IP address: 91.121.167.135
3 found with the IP 91.121.167.135

1) zemsta-za-zdrade.pl (view site)
2) prawiczek25.pl (view site)
3) ns202934.ovh.net (view site)
…

Cóż… zemsta-za-zdrade.pl, witryna wyłudzająca pieniądze, na jednym serwerze. Przypadek?

Drugą ciekawą sprawą są statystyki. Naprawdę wierzycie że od 1 października do 2 października (czyli w sumie przez dwa dni) stronkę odwiedziło ponad 80000 osób? Sprawdziłem ruch na stronie w ciągu 5 minut (od godz 22.03 do godz 22.08). Licznik strony wzrósł w tym czasie dokładnie o 1649 odwiedzin. Jeżeli nadal nie wzbudza to w Was wątpliwości, spróbujcie co sekunde odświeżać stronę i sprawdzać stan licznika. Średnio 6 osób na sekunde. Wiadomość szybko się rozchodzi albo zapewnienie autora: ‚gdybym chciał oszukiwać, to sam bym sobie ten licznik podkręcił ‚ powinny brzmieć raczej ‚gdybym nie chciał was oszukac, nie podkręcałbym licznika ‚.

Reasumując, uważajcie na co wchodzicie w sieci 😉 A ja czekam aż na stronce prawiczka25 pojawi się możliwość przetestowania swojego IQ za ‚drobną’ opłatą… pozdrooo