WMF: баг года

крис касперски ака мыщъх

Хакер, номер #086, стр. 086-066-2

28.12.2005

В тот же день Microsoft выпустила бюллетень Vulnerability in Graphics Rendering Engine Could Allow Remote Code Execution, официально подтверждающий наличие уязвимости в графической подсистеме, но вместо «микстуры» предоставила лишь обещание выпустить заплатку к 10 января, между тем очаги эпидемии все разрастались и эксплойты охватывали уже пять сайтов: www.unionseek.com, crackz.ws, www.tfcco.com, iframeurl.biz, beehappyy.biz, из которых до наших дней дожил только www.tfcco.com, а всем остальным злые администраторы сделали харакири без анестезии.

29.12.2005

На следующий день, 29 декабря, количество разновидностей wmf-червей перевалило за полтинник, а лекарства все не существовало. Программисты из Microsoft уже перекомпилировали GDI32.DLL, но еще не успели его протестировать. А тем временем эксплойты цвели и размножались. Для временного решения проблемы (workaround) Microsoft предложила пользователем разрегистрировать библиотеку shimgvw.dll, отвечающую за обработку изображений в Internet Explorer, Outlook Express, Google Desktop Search и некоторых других приложениях, однако программы, напрямую взаимодействующие с GDI (например, Irfan Viewer) оставались уязвимыми, к тому же без shimgvw.dll изображения (даже легальные) просто не отображались. Программа Windows Picture and Fax viewer показывала пустой экран, в котором не угадывалось никакого оптимизма.

31.12.2005

31 декабря, когда эпидемия бушевала в полный рост, создатель легендарного дизассемблера IDA Pro, Ильфак Гуильфанов, выпустил hotfix, латающий движок графической подсистемы прямо в памяти, чтобы вместо исполнения зловредного callback'а она возвращала сообщение об ошибке. В результате сайт Ильфака (www.hexblog.com) немедленно рухнул от наплыва посетителей, подняв популярность его владельца во много раз. В тот же день был обнаружен первый червь, распространяющийся по MSN-Messenger'у через дыру в метафайлах и рассылающий ссылку на xmas-2006 FUNNY.jpg, в действительности являющийся никаким не jpg, а самым настоящим инфицированным wmf, устанавливающим backdoor. К 11:54 GMT, по оценкам Лаборатории Касперского, червь, прозванный IM-Worm, сумел захватить 1000 машин-дронов (www.viruslist.com/en/weblog?discuss=176892530&return=1), однако это были еще цветочки.

1.1.2006

1 января появился первый полиморфный вирус, генерирующий метафайлы случайного размера с произвольным числом фреймов и высококонфигурабельным shell-кодом, размещенный между фреймами и обламывающий ранее установленные фильтры. Тогда же началась массовая рассылка по мылу MSN-червя со строкой Happy New Year в subj'е.

3.1.2006

Дальше - больше. 3 января появился конструктор червей, а через день хакеры добрались и до IRC. Появилась информация, что Google Desktop Search автоматически выполняет «начинку» метафайлов при индексации диска. То есть, злоумышленнику достаточно просто забросить wmf-файл на компьютер жертвы, и все.

5.1.2006

Ситуация становилась критической, и вот 5 января, на пять днней раньше обещанного, Microsoft выпустила долгожданное официальное обновление для NT-подобных систем: www.microsoft.com/technet/security/Bulletin/ms06-001.mspx, однако Windows 9x все еще остается не залатанной, не говоря уже о Windows 3.x и UNIX-подобных системах.