VK якобы зажала гонорар искателям багов и спустя год была наказана.

14 февраля 2019 года запомнится в том числе как день, когда «ВКонтакте» немного сошла с ума. Паблики и профили пользователей массово публиковали один и тот же пост о введении рекламы в сообщениях VK. Оказалось, что к поломке соцсети причастны обидевшиеся программисты и (отчасти) популярное помоечное медиа Akket.

С чего все началось?

В сообществах «ВКонтакте» стала появляться одинаковая запись со ссылкой на пост, в котором говорилось, что в личных сообщениях в соцсети добавили рекламу. Пост сперва вел в сообщество «Команды ВКонтакте», а потом переводил на страницу в LiveInternet. Создатели записи ссылались на сайт AKKet, которому о нововведении якобы рассказал представитель соцсети.

За несколько минут вирусный пост появился в огромном количестве сообществ соцсети, в том числе, верифицированных и принадлежащих «ВКонтакте». VK отреагировала оперативно и прикрыла лавочку.

Как это работает?

По данным TJ, хакеры воспользовались уязвимостью – при заходе на страницу активировался javascript-код и запускал рассылку. Если пользователь нажимал на фейковый пост про рекламу в VK, скрипт от его имени размещал эту запись на всех страницах, которыми он управляет. Таким образом пост завирусился во многих сообществах.

«ВКонтакте» подтвердила, что уязвимость позволяла исполнять произвольный JS-код, проблему уже исправляют. «Переход по ссылкам приводил к эффекту волны и дальнейшему распространению публикаций», – заметили в пресс-службе компании.

Кто виноват?

Пользователи соцсети заметили, что за сутки до сбоя в популярном среди программистов сообществе «Багосы» появилась интригующая запись. Автор просил накинуть лайков и в обмен на сердечки обещал рассказать про новую уязвимость в VK. После запуска волны одинаковых постов администрация «ВКонтакте» заблокировала «Багосы» с формулировкой «в связи с возможным нарушением правил сайта».

В 21:02 в резервном сообществе «Багосы» появился пост, в котором энтузиасты взяли на себя ответственность за поломку соцсети. Автор мотивировал запуск вирусного поста о рекламе местью за то, что «ВКонтакте» зажимает разработчикам выплату гонорара за найденный баг. По словам анонима, он с командой единомышленников нашел уязвимость год назад, сообщил об этом соцсети, но не получил за это ни рубля. Соцсеть якобы даже не поблагодарила программистов.

Тогда, после устранения уязвимости, было найдено множество обходов, но даже спасибо мы за них не получили. В итоге остался последний обход, который мы берегли целый год. Сегодня за несколько часов был написан код. Чтобы посты было сложнее сносить антиспамом и записи продержались хотя бы полчаса, заголовок и комментарий подбирались рандомно. Что ж, шалость удалась.

«Багосы».

В последнем сообщении из паблика «Команда ВКонтакте» говорится, что соцсеть приняла меры и заблокировала уязвимость.