21/09/2010: cronaca di un attacco a Twitter!

Qualcuno, sfruttando una falla di sicurezza della nuova vecchia piattaforma, sta mettendo Twitter sotto assedio (con il probabile intento di farlo collassare)

Il bug è particolarmente sgradevole: una serie di tweet completamente neri sono stati lanciati sul sito di microblogging; il contenuto di questi tweet consiste in un javascript che fa automaticamente il submit di se stesso sul mouseover… di conseguenza  i tweet neri si stanno moltiplicando a vista d’occhio.

Unica soluzione, al momento, è quella di utilizzare applicazioni di terze parti come TweetDeck per accedere a Twitter o comunque di non passare sui tweet incriminati se si è loggati dall’interfaccia web.

E comunque, come ha tweettato l’amico Andrea: “20100921 – Twitter sotto attacco: IO C’ERO! #twitter #fail”

(via)

UPDATE 14.44

Secondo Fabrizio Castagnotto il tutto potrebbe essere partito da questo: http://twitter.com/RainbowTwtr rilasciato stamane intorno alle 9. Evidentemente qualcuno ha ben pensato di sfruttare il baco su cui si appoggiava per fare un po’ di “havoc”.

UPDATE 14.53

Ora non sembrano esserci più i tweet neri, ma c’è un tweet di un certo Unlevin che, al passaggio del mouse fa azionare il solito javascript che tenta un retweet senza riuscirci e mandando in crash la piattaforma!

UPDATE 14.59

Attualmente tutta la home con lo stream di Twitter sembra coperta da una maschera che aziona il javascript.

Se siete “ostaggi” di twitter (nel senso che la maschera non vi fa cliccare nemmeno su “Esci”) premete ctrl+F5 e poi veloci su “Esci”.

UPDATE 15.08

Sembra essere tutto finito. L’iniziale allarme cross-site sembra essere stato smentito. Un semplice javascriptino che ha mandato in tilt il più popolare sito di microblogging!

UPDATE 15.14

Non è per nulla finito! Adesso c’è un altro account (un certo Twitrotor) che fa partire retweet in automatico con il sistema della maschera.

UPDATE 15.18

Sembra che solo chi ha ancora la vecchia versione di twitter riscontri questi problemi. Con il nuovo twitter tutto liscissimo.

UPDATE 15.22

Il tweet incriminato al momento è quello di Twitrotor ed incita alla Jihad!

UPDATE 15.37

Non sembra ancora essere del tutto finito questo attacco a twitter del 21/09/2010. Ancora qualcuno (compreso me) ha problemi. Intanto Mashable annuncia di aver contattato twitter per avere la loro versione sulla situazione, ma di non aver ricevuto alcuna risposta.

Il consiglio resta quello di NON accedere a Twitter via web.

UPDATE 15.44

Dopo la prima fase dei tweet neri, l’attacco è stato “rinforzato”: adesso (da un po’ di tempo in verità) lo script  funziona anche senza il mouseover. NON accedete a twitter via web finchè le cose non saranno certamente risolte.

UPDATE 15.46

Gli hacker si divertono:

UPDATE 15.51

Center Networks suggerisce di procedere in questo modo per “ovviare” al bug:

1. accedere a twitter in versione mobile (anche da web)
2. andare sul proprio profilo
3. eliminare i tweet incriminati (creati dal javascript)
4. attendere qualche attimo perchè il proprio account sia ripulito
5. per sicurezza cambiate anche la password

E non accedete ancora alla piattaforma via web (aggiungerei io).

UPDATE 15.56

Twitter annuncia di aver identificato l’attacco XSS e di aver risolto il problema. Il mio consiglio è di attendere ancora un po’ prima di accedere alla piattaforma via web.

UPDATE 16.02

Tutto finito!