Demo einer Tweet-Malware

Twitter lässt sich für Würmer nutzen

Laut Sicherheitsexperten lässt sich der Micro-Blogging-Dienst Twitter für die Verbreitung von Malware nutzen. Ein entsprechendes Proof of Concept nutzt eine Lücke in dem Dienst, um einen Cross-Site-Scripting-Angriff auszuführen.

Der Micro-Blogging-Dienst Twitter erfreut sich weiter wachsender Beliebtheit. Es werden jedoch auch immer wieder Sicherheitslücken in Twitter entdeckt. So haben Forscher des Sicherheitsunternehmens Secure Science eine Schwachstelle entdeckt, die genutzt werden könnte, um einen Twitter-Wurm zu verbreiten. Sie haben zur Demonstration harmlosen Beispiel-Code veröffentlicht. Der könnte jedoch mit schädlichem Code kombiniert werden und so einen Wurm verbreiten.

Bei der entdeckten Schwachstelle handelt es sich um eine nicht näher bezeichnete XSS-Lücke (Cross-Site Scripting) in der Support-Website von Twitter. Das Demo-Script öffnet zunächst eine Warnmeldung und versendet dann im Namen des Benutzers eine vordefinierte Twitter-Nachricht. Sie lautet "@XSSExploits I just got owned!".

Nach Angaben von Lance James, Forschungsleiter bei Secure Science, könnte der Angriff derart modifiziert werden, dass keine Warnmeldung erfolgt. Der Text könnte in eine beliebige Sensationsmeldung geändert werden, um die Neugier potenzieller Opfer zu wecken. Wird dann noch ein Exploit für eine Browser-Schwachstelle eingebaut, könnte der Angreifer Malware einschleusen und die Kontrolle über die Rechner seiner Opfer erlangen.

Die Twitter-Entwickler könnten die Gefahr bannen, bevor etwas in dieser Art passiert, indem sie die XSS-Schwachstelle beseitigen. Es bleibe, meint Lance James, jedoch die Gefahr, dass weitere Sicherheitslücken ähnlicher Art entdeckt würden. Die Gefahr von Malware-Angriffen sei bei Twitter dadurch erhöht, dass wegen der Begrenzung auf 140 Zeichen oft Kurz-URLs (wie die von tinyurl.com) genutzt würden. Dadurch sei das tatsächliche Ziel eines Links nicht vorab erkennbar.

Man wolle Twitter nicht schaden, so James weiter. Ziel sei es vielmehr Twitter dazu zu bringen Sicherheitsaspekte mit höherer Priorität zu behandeln. (PC-Welt/mja)