Se está explotando otra vulnerabilidad XSS

Hay una nueva vulnerabilidad XSS que se está explotando en Orkut, la red social preferida de Brasil, que es propiedad de Google. Más de 26 millones de brasileños tienen perfiles en Orkut. La vulnerabilidad XSS afectó a más de 180.000 usuarios en menos de 12 horas después de que se la descubrió y comenzó a explotar, y cada minuto se comprometen más cuentas.

No se necesita ningún tipo de interacción con el usuario para comprometer tu equipo: la víctima sólo debe estar conectada a tu cuenta y visitar el perfil de un amigo. Si tienes una pequeña imagen de la bandera brasileña en tu sección de borradores y tu amigo también:

Serás víctima del ataque. Cuando te infectan, este mensaje convoca a un archivo javascript externo y lo ejecuta:

Todos los equipos infectados por este script se agregan en secreto a una comunidad llamada “Infectados por el virus Orkut”, que registra a todos los usuarios comprometidos por esta nueva vulnerabilidad:

En portugués la descripción de la comunidad dice: “Você chegou aqui através de uma falha grave no orkut. A falha já foi comunicada ao Google e deve ser corrigida em breve. A comunidade só tem o intuito de forçar uma correção mais rápida”.

Traducción al castellano: “Llegaste aquí a través de una vulnerabilidad grave en Orkut. Ya se ha informado a Google sobre esta vulnerabilidad y debe ser solucionada en breve. Esta comunidad sólo tiene la intención de obligar que la solución sea más rápida.

¿Cómo comenzó todo esto? Se supone que el autor de esta comunidad está usando esta vulnerabilidad XSS para obligar a Google a solucionarla rápido. Este no es el único caso de este tipo que hemos visto: en diciembre de 2007, un caso similar afectó a más de 660.000 usuarios de Orkut en pocas horas.

Sugerimos que evites ingresar a Orkut y/o desactives JavaScript en tu navegador hasta que Google parche esta vulnerabilidad.

Pero si eres cliente de Kaspersky ya estás protegido: nuestros productos detectan el archivo javascript como Exploit.JS.Orkut.f y bloquean esta versión y sus futuras variantes. Sólo asegúrate de que tu base de datos está actualizada antes de ingresar a Orkut.

Actualización 1: hay más de 310.000 usuarios afectados por la vulnerabilidad y todavía no se ha solucionado el problema.

Actualización 2: Google solucionó la vulnerabilidad XSS el sábado en la noche, después de que la falla afectara a más de 400.000 usuarios.