L'alerte a été donnée vendredi par Bitdefender qui a identifié un exploit de type 0-day pour la version 11.x du client de messagerie instantanée Yahoo! Messenger. Cet exploit permet à un attaquant distant de modifier le message de statut. Un tel détournement sert à véhiculer un lien malveillant.

" Les messages de statut sont particulièrement efficaces en termes de taux de clics puisqu'ils sont adressés à un petit groupe d'amis. Il y a donc de fortes chances pour que la plupart des contacts qui les voient cliquent dessus ", estime Bitdefender.

L'attaquant simule l'envoi d'un fichier à un utilisateur. Une iframe remplace le message de statut de l'utilisateur par un texte personnalisé. Cette iframe est envoyée sous la forme d'un message quelconque et provient d'un autre utilisateur de Yahoo! Messenger, même si celui-ci ne fait pas partie de la liste de contacts de la victime.

En cas de succès, la victime n'a pas d'indication selon laquelle son statut a été modifié. BitDefender a prévenu Yahoo! de sa trouvaille et conseille en attendant la diffusion d'un correctif de paramétrer Yahoo! Messenger afin d'ignorer toute personne ne faisant pas partie des contacts Yahoo!. Par ailleurs, certaines suites de sécurité proposent une fonction de filtrage Web.