كيف تنتشر الدودة نعرفكم بهذه السرعة

على الرغم من أن نعرفكم الآن تطهير الصفحات التي تتأثر دودة اليوم ، وكان قادرا على استكشاف SophosLabs لفترة وجيزة كيفية انتشار العدوى.

يبدو أن الدودة استغل ميزة reblogging نعرفكم، وهذا يعني أن أي شخص تم تسجيل إلى أن نعرفكم ربلوغ تلقائيا آخر المعدية إذا ما زار أحد الصفحات المخالف.

كان كل وظيفة المتضررة بعض الشيفرات الخبيثة جزءا لا يتجزأ من داخلها:

سحب الذي تم ترميزه في الواقع سلسلة قاعدة 64 سكريبت، كانت مخبأة داخل الإطار من التي كانت غير مرئية للعين المجردة، والمحتوى من URL. فك الشفرة مرة واحدة، والقصد من القانون يصبح أكثر وضوحا.

هذا الرمز يفسر لماذا بعض المستخدمين شهد رسالة منبثقة، على ما يبدو من نعرفكم القادمة:

إذا لم تقم بتسجيل الدخول إلى نعرفكم عندما زار المتصفح عنوان URL، فإنه ببساطة إعادة توجيه لك إلى صفحة تسجيل الدخول القياسية. ومع ذلك، إذا كان جهاز الكمبيوتر الخاص بك في تسجيل نعرفكم، فإن ذلك سيؤدي في محتوى GNAA يجري reblogged على Tumblr الخاصة بك.

(وبالمناسبة، سوفوس هو حماية العملاء من خلال الوصول الآن إلى حظر عنوان URL strangled.net)

فإنه لا ينبغي أن يكون ممكنا لشخص ما لإضافة JavaScript الخبيثة في آخر هذه نعرفكم - افتراضنا هو أن المهاجمين تمكنوا من الالتفاف حول الدفاعات نعرفكم من خلال تمويه التعليمات البرمجية الخاصة بهم من خلال ترميز قاعدة 64 وتضمينه في SRC = "البيانات:" العلامة السمة.

بفضل فريزر SophosLabs هوارد الخبراء لمساعدته لهذه المادة.