Twitter führte Nutzer zu Pornoseite

Eine Sicherheitslücke bei Twitter hat am Dienstag zahllose Nutzer des beliebten Micro-Blogging-Dienstes verunsichert. Laut der Sicherheitsfirma Sophos, welche den Fehler entdeckte, führten in einzelnen Fällen in Kurzmitteilungen eingebundene Internet-Links zu einer Porno-Internetseite in Japan. Auch die Frau des ehemaligen britischen Premierministers Gordon Brown zählte zu den Opfern (siehe unten).

Bösartiger JavaScript-Bug
Die Sicherheitslücke betraf eine Funktion der Skriptsprache JavaScript, die als "onmouseover" bezeichnet wird. Dabei wird im Internet-Browser eine Aktion schon dann ausgelöst, wenn ein Nutzer die Maus nur über einen bestimmten Bereich führt. Zahlreiche Tweets zeigten daraufhin nur wirren JavaScript-Code an. Die Bewegung mit der Maus reichte aus, um selbst einen infizierten Tweet loszuschicken.

Kollaps
Kurze Zeit nach dem Auftreten des Wurms brach der Dienst dann völlig zusammen, weil sich der infizierte Tweet in Windeseile verbreitete. Zu den ersten Opfern gehörte die Frau des ehemaligen britischen Premierministers Gordon Brown. Ihren mehr als 1,1 Millionen "Followern" schickte sie am Dienstagmittag unfreiwillig eine Mitteilung mit dem Link japanischen Porno-Website. Als sie es bemerkte, schickte sie eine Warnung hinterher: "Fasst den früheren Tweet nicht an - da passiert etwas sehr Merkwürdiges mit diesem Twitter-Feed! Sarah".

Weitere Probleme
Zum Teil wurde beim Aufrufen der Twitter-Seite auch die übliche Ansicht der Mitteilungen von wirren Grafiken blockiert. Zusätzlich löste der Schadcode in vielen Fällen automatische "Retweets" aus - den Weiterversand der infizierten Mitteilung unter dem eigenen Twitter-Namen. Wenn die Nutzer nicht zu der Porno-Seite geleitet wurden, wurde nur wirrer JavaScript-Code angezeigt oder es öffnete sich ein Popup-Fenster.  "Jetzt schlagen die dinger hier aber auch wirklich im sekundentakt auf", twitterte "radirks".

Bug bereits beseitigt
Sophos äußerte die Hoffnung, dass die Betreiber die Sicherheitslücke so schnell wie möglich schließen. Das Problem ließ sich eingrenzen, wenn man den Dienst nicht im Browser, sondern mit einem der zahlreichen Twitter-Programme wie TweetDeck aufrief.

Vor Kurzem meldete die Leiterin der Twitter-Sicherheitsabteilung, Del Harvey, über den Dienst, dass die Lücke mittlerweile  vollständig geschlossen sein müsste.

Nicht der erste Angriff
Je populärer der Dienst wurde, umso größer wurde auch seine Anziehungskraft auf Cyberkriminelle. So gab es bereits zahlreiche Attacken gegen Twitter.