XSS-экплоит похищает пользовательские cookies для входа в учетную запись и работает во всех без исключения web-обозревателях. Египетский хакер продает XSS-эксплоит Yahoo! Mail за $700. Хакер опубликовал «рекламный» ролик, в котором действие эксплоита подробно демонстрируется пользователям. Копию ролика сделал Брайан Кребс, и разместил ее на ресурсе YouTube. Автор видеозаписи рассказывает, что XSS-экплоит похищает пользовательские cookies для входа в учетную запись и работает во всех без исключения web-обозревателях.
«Я продаю XSS-эксплоит Yahoo, который похищает cookies для входа в учетную запись электронной почты пользователей и работает во всех браузерах, – сообщает хакер. – Вам не нужно обходить XSS-фильтры в IE или Chrome, так как экплоит использует хранимую XSS-уязвимость. Цены на такие эксплоиты составляют от $1100 до $1500, в то время как я предлагаю его за $700. Продам только надежным людям, потому что не хочу, чтобы брешь исправили в скором времени».
Брайан Кребс сообщил в своем блоге, что он связывался с представителями Yahoo!, которые сказали, что анализируют полученную информацию. Эксперты компании пытаются обнаружить точный URL–адрес, который запускает эксплоит.
«Исправить брешь легко, потому что большинство XSS устраняются простой заменой в коде. Когда мы обнаружим уязвимый URL–адрес мы сможем в течение нескольких часов запустить новый код», – сообщил Рамзес Мартинез, начальник отдела безопасности Yahoo!.