Все собранные подтверждения и улики указывают на то, что источником атаки является Бразилия. Во-первых, оба доменных имени, используемых для сбора краденых файлов cookie, зарегистрированы на бразильских граждан. Во-вторых, один из доменов размещен на бразильском хостинге. И наконец, достаточно просто взглянуть на сообщение в Twitter, с помощью которого распространяется эксплойт:

Pe Lanza da banda Restart sofre acidente tragico — это короткое tweet-сообщение на португальском языке о «трагическом инциденте», в который якобы попала бразильская поп-группа Restart. Похоже, источник атаки сомнений не вызывает. Данные вредоносные скрипты детектируются в Лаборатории Касперского как Exploit.JS.Twetti.a, а используемые для проведения атаки URL включены в черные списки. Сейчас в ЛК работают над тем, чтобы вывести из строя эти вредоносные URL и, насколько возможно, минимизировать нанесенный пользователям ущерб. Разумеется, администрация ресурса была проинформирована о проблеме. Но предупреждения касаются не только Twitter, но и других крупных социальных сетей.