'.wmf-lek grootste lek allertijden'

[jacobus]

'.wmf-lek grootste lek allertijden'

 

Uitgegeven: 2 januari 2006 14:33

Laatst gewijzigd: 2 januari 2006 15:13

AMSTERDAM - De pas ontdekte .wmf-bug is hoogstwaarschijnlijk het grootste lek allertijden. Het Windows Meta File-lek is vorige week per toeval ontdekt. Hackers maken momenteel hiervan gretig gebruik, omdat Microsoft nog geen patch heeft uitgebracht om het lek te dichten.

 

Virusexperts waarschuwen om voorzichtig te zijn met het openen van plaatjes en linkjes via de e-mail. Er zijn inmiddels al diverse verdachte e-mails in omloop die gebruik maken van het .wmf-lek.

 

.wmf-files zijn bestanden die afbeeldingen bevatten. In tegenstelling tot JPEG en GIF-bestanden kunnen .wmf-afbeeldingen ook codes bevatten, die een opdracht kunnen geven aan een browser. Alleen Internet Explorer (IE) en Firefox voeren deze opdrachten automatisch uit. Bezitters van Firefox 1.5 krijgen echter een waarschuwing als een .wmf een opdracht probeert uit te voeren.

 

Zo is er een mail in omloop met een zogenaamde nieuwjaarswens. Echter als de gebruiker het plaatje opent, wordt er een trojaans paard (PFV-Exploit.D ) geïnstalleerd. Via het virus kunnen kwaadwillenden de controle van de pc overnemen.

 

Virusexperts verwachten dat dit slechts een topje van de ijsberg is. Ook omdat maandag bekend is geworden dat het lek al sinds begin jaren '90 bestaat en dus alle pc's met het Windows-besturingssysteem kwetsbaar zijn.

nu.nl

[JaNuZz]

tijdelijke fix :

 

Er is een tijdelijke fix beschikbaar:

http://www.hexblog.com/2005/12/wmf_vuln.html

- fix is voor: W2K, XP 32-bit, XP 64-bit, Server 2003. (Zou ook werken op Vista beta2)

- LET OP: je MOET rebooten na het installeren!

- deze patch verandert geen bestanden of instelllingen

- source code beschikbaar

- fix gecontroleerd door aantal grote websites en "in orde bevonden".

- uninstallen via add/remove programs

 

Microsoft heeft nog geen fix beschikbaar. Deze fix is op dit moment het beste wat er is. Voor alle andere windows versies (3.x, 9x en ME) is geen fix beschikbaar.

 

Je kan zelf testen of je PC kwetsbaar is:

http://www.hexblog.com/2006/01/wmf_vulnerability_checker.html

(let op: als je de fix hebt geinstalleerd, maar niet hebt gereboot, dan geeft deze test ten onrechte aan dat je veilig bent. Je moet per se rebooten nadat je de fix hebt geinstalleerd.)

 

Het gaat hier wsl om het grootste en gevaarlijkste lek ooit. Alle computers met windows 3.0 of hoger liggen volkomen open en kunnen zomaar worden overgenomen zonder dat je er ook maar erg in hebt! McAffee geeft al aan dat 6% van hun gebruikers al besmet is met de 1e variant van de exploits. Meer, en gevaarlijkere varianten zijn al gesignaleerd.

 

Je kunt al worden besmet zonder ergens op te kliken of zonder dat het plaatje wordt gerendert. Als een besmet plaatje wordt geparst ben je al besmet!!!

 

Parsen kan bijvoorbeeld door:

- een directory te openen waar het plaatje in staat met thumbnail weergave.

- Firefox en Opera renderen het plaatje niet. Maar als je Google Desktopsearch hebt, dan is het indexeren van je browsers cache al voldoende om besmet te worden!

 

In beide gevallen ben je besmet zonder dat het plaatje wordt gerendert! Omdat de aanvaller volledige controle krijgt over je PC (ongeacht of je als admin werkt of als limited user!) kan er dus bv. een rootkit of een secure shell worden geinstalleerd zonder dat je het door hebt!

 

Naar aanleiding van terugkerende vragen "Hoe weet ik of ik besmet ben?" en "Hoe kom ik er weer van af?" Voor alle duidelijkheid: het gaat hier niet om een virus! Het gaat hier om een algemene vulnerabilty die de aanvaller complete controle over je PC geeft. Er is dus (helaas!) ook geen standaard manier om je PC weer schoon te krijgen als je besmet bent. Er is ook geen standaard manier om te kijken of je besmet bent! Het hangt er dus maar net van af wat de aanvaller heeft gedaan nadat deze de controle over je PC heeft gekregen.

 

Als je PC ineens raar gaat doen (zoekbalkjes installeren, tig popups openen of iets dergelijks) heb je eigenlijk geluk. Het is dan tenminste zichtbaar. Maar de aanvaller kan net zo goed een rootkit of een secure shell installeren zonder dat je dus ook maar IETS merkt. Dat is nog veel gevaarlijker.

 

bron: http://tweakers.net/nieuws/40569 (zie reactie Walter de Rochebrun )

[lite]

lekker weer... bedankt voor de info mensen