ZERO DAY en Yahoo Messenger permite secuestrar el mensaje de “status”

Los usuarios de Yahoo Messenger corren el peligro de que su mensaje de estado sea cambiado sin su consentimiento, y aunado a ello propaguen malware inadvertidamente.

El exploit ZERO DAY está presente en versiones 11.x del cliente de Yahoo Messenger -incluyendo la más reciente versión-, y permite a atacantes remotos secuestrar fácilmente el estatus de la víctima.

“El cambio de mensaje de estatus ocurre cuando un atacante simula enviar un archivo al usuario”, explica BitDefender. “Esta acción manipula el parámetro $InlineAction (responsable de la manera en que el Messenger despliega la aceptación o negación de la transferencia) para cargar un iFrame, el cual una vez cargado, cambia el mensaje de estatus por el texto que el atacante decida”.

El “nuevo mensaje” puede incluir enlaces a sitios maliciosos -o en el mejor de los casos- enlaces de afiliación. Desafortunadamente, el ataque es realizable incluso si el atacante no está incluido en la lista de contactos de la víctima.

Actualmente, los usuarios pueden, en parte, protegerse a sí mismos de un ataque si cambian la configuración de Yahoo Messenger para que cualquier persona que no esté en su lista de contactos sea ignorada, y deberían hacerlo, ya que el ataque sigue circulando por la red. Sin embargo, esto no representa una protección total, ya que si uno de sus contactos cayó en la trampa, su cuenta estará ahora propagando un mensaje malicioso.

Los investigadores dicen que ya han contactado a Yahoo!, y le han enviado el código de concepto de prueba, así como la documentación al respecto. Así que, sólo resta esperar a que el error sea corregido.

 Fuente