c:\windows\uniq
c:\windows\kl.exe

Para quienes utilicen NOD32, el antivirus impedirá la ejecución de dicho archivo, protegiéndolos de la posible infección. NOD32 lo detecta como una variante del Win32/TrojanDownloader.Small.AOD

El exploit propiamente dicho, es detectado por NOD32 como Win32/TrojanDownloader.Wmfex (ver "TrojanDownloader.Wmfex. Detección para exploit WMF, http://www.vsantivirus.com/trojandownloader-wmfex.htm)

Es importante hacer notar que las pruebas en nuestro laboratorio, se realizaron con un Windows XP SP2 con todas las actualizaciones al día, incluido el parche MS05-053 que solucionaba un problema de ejecución de código mediante imágenes WMF/EMF (896424), y que fuera publicado por Microsoft en noviembre pasado. Más tarde se comprobó que el exploit está basado en una vulnerabilidad totalmente nueva (ver "Información de último momento" al final de este artículo).

Dicha vulnerabilidad afecta a todas las computadoras que ejecuten Windows XP (SP2 incluido) y Windows Server 2003 (SP1 incluido). Otras versiones de Windows que utilicen el visor de imágenes y fax de Windows también son afectadas (ver "Vulnerabilidad en visor de imágenes y fax de Windows", http://www.vsantivirus.com/vul-windows-shimgvw-281205.htm)

Debido a consultas y comentario recibidos, no está de más aclarar que esta alerta no es una broma por el día de los inocentes (28 de diciembre), sino que se trata de algo totalmente real.

* Información de último momento [29/12/05 06:15 -0200]

1. No se trata de la vulnerabilidad corregida en el parche MS05-053 como se dijo en este mismo artículo anteriormente, sino de una nueva vulnerabilidad descubierta el mismo día de ser explotada (28 de diciembre). Un auténtico "zero-day".

2. La vulnerabilidad no depende del navegador, se puede infectar cualquier persona usando otros navegadores, como por ejemplo Firefox. Solo basta que se descargue una imagen que tenga el exploit, y esté utilizando una de las versiones vulnerables de Windows.

3. Existen al menos tres variaciones del exploit (28/12/05 20:58 -0200), que están siendo utilizadas para la descarga de otros troyanos. Los más típicos son los que muestran un falso anuncio de alerta de infección para que se descargue un supuesto software anti-spyware o anti-troyano. Esto no es nuevo y no debemos aceptar nunca seguir un enlace de este tipo si nos aparece una ventana con esta clase de alerta mientras navegamos, y la misma no es la de nuestro antivirus. Lo nuevo aquí es que se utiliza el nuevo exploit para aprovecharse de esto y ejecutar la falsa alerta de forma automática.

4. Aún cuando no se abra una imagen haciendo doble clic en ella, ni se utilice el Explorador de Windows para visualizar una carpeta que tenga una imagen con el exploit, podemos infectarnos si tenemos instaladas utilidades como por ejemplo Google Desktop, ya que las mismas crean un índice de imágenes para hacer búsquedas más rápidas, y ello es suficiente para que se ejecute el exploit. Ello está relacionado con el visor usado por Windows para ver las pre visualizaciones de imágenes, faxes, etc. Esto se explica en el siguiente artículo:

Vulnerabilidad en visor de imágenes y fax de Windows
http://www.vsantivirus.com/vul-windows-shimgvw-281205.htm

5. En ese mismo artículo, se dan algunas soluciones alternativas de protección, como la de desregistrar el componente afectado (SHIMGVW.DLL), al menos mientras Microsoft no publique un parche actualizado.

Reiteramos, mucha precaución a la hora de navegar, no hacerlo por sitios no conocidos, y mantener al día los antivirus. Aún ahora no todos detectan el exploit o sus variantes.

(*) Jose Luis Lopez es el responsable de contenidos de VSAntivirus.com, y director técnico y gerente general de NOD32 Uruguay.


Más información:

Todo lo que hay que saber sobre el exploit WMF
http://www.vsantivirus.com/faq-wmf-exploit.htm

MS06-001 Vulnerabilidad en motor de gráficos (912919)
http://www.vsantivirus.com/vulms06-001.htm

Exploit.WMF. Detección para exploit archivos WMF
http://www.vsantivirus.com/exploit-wmf.htm

Microsoft publica anticipadamente su parche para WMF
http://www.vsantivirus.com/ev-vul-wmf.htm

NOD32 crea parche dinámico para vulnerabilidad WMF
http://www.vsantivirus.com/wmfpatch.htm

Vulnerabilidad en visor de imágenes y fax de Windows
http://www.vsantivirus.com/vul-windows-shimgvw-281205.htm

TrojanDownloader.Wmfex. Detección para exploit WMF
http://www.vsantivirus.com/trojandownloader-wmfex.htm

La vulnerabilidad WMF y la solución basada en DEP
http://www.vsantivirus.com/30-12-05.htm

Parche NO oficial para la vulnerabilidad WMF
http://www.vsantivirus.com/vul-wmf-parche.htm

El problema WMF y la ética de una computación confiable
http://www.vsantivirus.com/01-01-06.htm

Alerta ante nuevo exploit para la vulnerabilidad WMF
http://www.vsantivirus.com/31-12-05.htm




[Última modificación: 28/08/06 23:00 -0300]




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com