Aanvallers misbruiken een onbekend beveiligingslek in Yahoo Instant Messenger om gebruikers met malware te infecteren. De kwetsbaarheid bevindt zich in versie 11.x van het programma, waaronder de recent uitgebrachte 11.5.0.152-us versie en laat een aanvaller op afstand de statusberichten van Yahoo Messenger aanpassen.

Het statusbericht wordt gewijzigd wanneer aanvaller simuleert dat hij een bestand naar de gebruiker stuurt. Deze actie manipuleert een parameter om een iFrame te laden, die het statusbericht van de gebruiker omwisselt met de tekst van de aanvaller. Deze status kan ook een kwaadaardige link bevatten. Het iFrame wordt als een normaal bericht verstuurd, afkomstig van een willekeurige Yahoo Messenger gebruiker, die niet in de vriendenlijst van het slachtoffer hoeft te staan.

Social engineering
Een aanvaller kan gebruikers zo naar kwaadaardige websites doorsturen. Of berichten versturen waarbij ontvangers denken dat ze een bestand toegestuurd krijgen, en dat vervolgens kunnen opslaan of weigeren, maar ondertussen wordt de kwaadaardige code van het statusbericht binnen Yahoo Messenger uitgevoerd.

"Statusberichten zijn zeer effectief als het gaat om het aantal gebruikers dat doorklikt, aangezien ze aan een kleine groep vrienden gericht zijn. De kans bestaat dat als ze eenmaal worden getoond, bijna iedereen erop klikt die ze te zien krijgt", zegt Bogdan Botezatu van het Roemeense anti-virusbedrijf BitDefender.

Yahoo Messenger-gebruikers die zich willen beschermen krijgen het advies om "ignore anyone who is not in your Yahoo! Contacts." in stellen.