Une vulnérabilité de type Cross-Site Scripting (XSS) dans le framework Krpano a été exploitée par des cybercriminels pour injecter des scripts malveillants sur plus de 350 sites web. Cette attaque, baptisée « 360XSS », a visé des sites gouvernementaux, universitaires, des chaînes hôtelières, ainsi que des entreprises du Fortune 500. L’objectif de cette campagne était de manipuler les résultats de recherche et de propager des publicités spam à grande échelle. Dans cet article, nous analyserons la faille de sécurité, son exploitation, et les recommandations pour y remédier.
La faille dans Krpano et son exploitation
Le framework Krpano, utilisé pour intégrer des images et vidéos à 360° dans les sites web, est devenu une cible privilégiée des cybercriminels. La vulnérabilité réside dans la gestion de l’option « passQueryParameters », qui permet aux attaquants d’injecter des scripts malveillants via une URL spécialement conçue. En exploitant cette faille, ils ont pu injecter des publicités liées à des contenus pornographiques, des suppléments alimentaires, des casinos en ligne, et même des vidéos YouTube falsifiées.
Comment les attaquants ont-ils utilisé cette faille ?
Les attaquants ont créé des liens contenant des paramètres XML spécialement configurés, permettant d’injecter un code Base64 encodé. Une fois décodé, le code chargeait des URL malveillantes, propagées via les moteurs de recherche. Cette méthode innovante d’attaque, utilisant les résultats de recherche pour propager des publicités non sollicitées, est un exemple de « SEO poisoning », qui abuserait de la crédibilité de sites légitimes pour améliorer leur visibilité sur Google.
L’impact et la portée de l’attaque
La campagne a affecté plus de 350 sites web, dont des institutions gouvernementales, des universités, des entreprises multinationales et des hôtels. L’attaque visait principalement à manipuler les moteurs de recherche, ce qui a permis aux attaquants de diffuser des publicités sur des sites de confiance, entraînant ainsi une perte de crédibilité pour les victimes.
Mesures de protection et recommandations
Pour se protéger contre de telles attaques, les utilisateurs de Krpano sont fortement encouragés à mettre à jour leur version du framework vers la version 1.22.4, qui élimine la possibilité d’injecter des paramètres XML externes. De plus, il est essentiel de désactiver l’option « passQueryParameters » pour éviter tout risque d’attaque XSS. Les propriétaires de sites affectés doivent nettoyer les pages infectées via Google Search Console.
L’exploitation de la vulnérabilité dans Krpano montre l’importance d’une vigilance constante concernant les frameworks tiers utilisés sur les sites web. La capacité des attaquants à détourner la crédibilité de sites légitimes pour diffuser des publicités malveillantes souligne la nécessité de mettre à jour régulièrement les composants logiciels et de surveiller l’intégrité des sites.
