Quicktime provoque une faille sur MySpace

MySpace, victime de son succès ? Le réseau social américain, récemment acquis par le groupe News Corp., suscite désormais l'intérêt des pirates comme des éditeurs spécialisés en sécurité informatique, qui étudient l'impact potentiel des failles que pourraient véhiculer les nombreuses pages Web de MySpace. Websense vient par exemple de dévoiler une importante vulnérabilité liée à Quicktime qui pourrait conduire au vol des identifiants personnels de l'internaute. Ceux-ci seraient ensuite utilisés pour propager du spam, ou rédiger des billets à son insu sur sa page MySpace.

En affichant sur MySpace une vidéo Quicktime piégée (au moyen de l'attribut « href track », qui permet de charger du JavaScript), des pirates seraient en mesure de diffuser un ver et de remplacer l'adresse des pages liées au profil de l'internaute par celles de sites de phishing. Ainsi, croyant s'identifier pour accéder à ses options personnelles, le visiteur risquerait de confier à son insu ses informations personnelles à des personnes malintentionnées. En outre, le ver serait également capable de corrompre le profil des internautes qui visitent une page infectée. Ces derniers seraient reconnaissables à la présence d'un encart vidéo Quicktime ne contenant aucun contenu réel.

Plusieurs centaines de profils infectés auraient déjà été nettoyés, indique Websense, même si MySpace n'a pour le moment pas souhaité s'exprimer sur le sujet. La société, qui revendique aujourd'hui plus de 73 millions de comptes utilisateurs actifs, a déjà fait l'objet d'attaques par le passé (voir par exemple MySpace : blog et bannière publicitaire infectée).