Um grupo de hackers começou sua caça por vulnerabilidades na rede social MySpace, que deverá fazer mais barulho que o mês de janeiro, dedicado às falhas em softwares da Apple.

O grupo, no entanto, reconhece que começaram lentamente, já que a primeira brecha revelada no domingo (01/04) não é tão perigosa, escreveram.

O problema envolve URLs forjadas. Um crackers pode construir uma página falsa que pareça com o MySpace usando as funções de edição CSS da rede social que peça os detalhes de autenticação do usuário. A página falsa é reproduzida no browser com o endereço www.myspace.com/PasswordReset.

"Esta é uma falha bem leve, e não esperamos que o time de segurança do MySpace programe novas defesas para a rede em pleno domingo", escreveram. "Então, começamos com uma que eles já devem conhece e não é tão perigosa assim".

Os hackers, que atendem pelos nomes de Mondo armando e Müstaschio, afirmaram que escolheram o MySpace para o projeto em razão dos seus muitos usuários. O MySpace teve 64,4 milhões de visitantes únicos em fevereiro, de acordo com a comScore Networks, que monitora o tráfego online.

"Eles se mantêm fiéis à posição da empresa em não responder a perguntas sobre segurança", afirmou um dos hackers em entrevista por e-mail.

Projetos com um "mês de bugs" foram criticados por serem espalhafatosos demais e, em alguns casos, não despertarem qualquer melhoria de segurança. O mês de falhas da Apple, por exemplo, não levantou nenhuma tão alarmante durante janeiro.

Mas o projeto que envolve o MySpace pode se mostrar mais fértil. A rede é alvo freqüente de crackers já que apenas uma conta compromissada pode permitir centenas de milhares de ataques a outros usuários, que podem receber spams ou ser infectados com códigos maliciosos.

Em dezembro, um worm se espalhou por perfis de usuários usando uma falha de múltiplos scripts e uma função dentro do player QuickTime, da Apple.

Usuários que visitam outros perfis do MySpace podem ser infectados ao assistir a um arquivo malicioso de QuickTime, que pode ser usado para capturar credenciais das vítimas.