Lue uutinen mobiilisivustolla

Haitallisista WMF-tiedostoista liikkeellä jo 60 eri versiota

30.12.2005 09:03 Microsoftin ja Windows-käyttäjien tietoturvavuosi 2006 on alkamassa ikävissä merkeissä. Korjaamatonta aukkoa hyödyntävistä WMF-kuvatiedoista on tehty jo lähes 60 erilaista versiota ja haittaohjelmia levitetään sadoilla www-sivuilla.

Windows Metafile -kuvatiedostojen käsittelyyn liittyvää haavoittuvuutta käytettiin haittaohjelmien levittämiseen www-sivuilla jo ennen sen tuloa julki keskiviikkona.

Windows-käyttäjien koneelle automaattisesti pyrkivät ohjelmat eivät ole toistaiseksi olleet varsinaisia viruksia vaan pääasiassa tietoturva-aiheisia mainosohjelmia, jotka pyrkivät rahastamaan perättömillä virusvaroituksilla.

F-Securen tutkimusjohtaja Mikko Hyppönen arveli torstaina yhtiön blogissa, että mainosohjelmat saavat pian seuraa myös oikeista viruksista. Hänen mukaansa hyväksikäyttömenetelmäksi muokatuista wmf-tiedostoista on jo löydetty 57 erilaista versiota.

Viestintäviraston Cert-fi-tietoturvaryhmän mukaan hyökkääjät käyttävät haavoittuvuutta lähiaikoina laajamittaisesti hyväksi.

Haittaohjelmien nettilevityksen lisäksi haavoittuvuus soveltuu mainiosti virusten levittämiseen sähköpostiviestien liitetiedostoina tai pikaviestiohjelmilla.

Vaihtoehtoselaimetkaan eivät suojaa täysin

Haavoittuvuus on poikkeuksellisen ikävä.

Pelkkien .wmf-tiedostojen suodattaminen yhdyskäyttävissä ei riitä, koska hyökkäys onnistuu myös väärennetyllä tiedostopäätteellä. Internet Storm Center kuitenkin kertoo, että Snort-ohjelmalle on laadittu hyvin toimiva allekirjoitus hyökkäysten havaitsemiseksi.

Internet Explorerin käyttäjät voivat saada tartunnan automaattisesti www-sivulta, mutta vaihtoehtoselaintenkaan käyttäjät eivät ole täysin suojassa. Niiden kanssa surffaavan on tosin ladattava haitallinen kuva erikseen tietokoneelle.

Hyökkäyksen voi laukaista myös koneeseen asennettu hakuohjelma kuten MSN Desktop Search tai Google Desktop, jos wmf-tiedosto on ladattu tietokoneelle esimerkiksi sähköpostin liitetiedostona.

Hyökkäyskoodin käynnistää myös pelkkä saastuneen kuvan esikatselu Windows Explorerilla eli Windowsin normaalilla tiedostonhallintatyökalulla.

Tietoturvayhtiö Secunian mukaan IBM:n Lotus Notes -ohjelmisto on myös altis haavoittuvuudelle.

Microsoft neuvoo kiertokonstin

Microsoft julkaisi varoituksen aukosta myöhään keskiviikkona. Yhtiön mukaan haavoittuvuus on paikannettu Windowsin Graphic Rendering Enginestä. Toistaiseksi yhtiön tiedossa vain wmf-tiedostomuodolla tehtyjä hyökkäyksiä, mutta muutkin hyökkäystavat saattavat olla mahdollisia.

Tunnetuissa hyökkäyksissä käytetyltä menetelmältä voi Microsoftin mukaan riskiä pienentää kuvien ja faksien katseluun tarkoitetun "Windows Picture and Fax Viewer" -ohjelman poistaminen käytöstä. Secunia varoittaa, että tämä ei suojaa kuitenkaan Lotus Notesin käyttäjiä. Ohjelman poistaminen estää myös kuvatiedostojen esikatselun tiedostonhallinnalla.

Secunian varoituksessa kerrotaan myös, että Internet Explorerin käyttäjät voivat suojautua automaattiselta saastumiselta nostamalla Internet-vyöhykkeen tietoturvatason korkeaksi.

Microsoftin ohje:
To un-register Shimgvw.dll, follow these steps:

To undo this change, re-register Shimgvw.dll by following the above steps. Replace the text in Step 1 with ?regsvr32 %windir%\system32\shimgvw.dll? (without the quotation marks).

Jaakko Kuivalainen toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Ampuja keskeytti opinnot ja armeijan

• Poliisi: Ampuja kertoo katuvansa tekojaan
• Pohjois-Korean Kim kävi huvipuistossa ja herkistyi
• Asiantuntija: Punkkipaniikki on jo ylimitoitettua
• Hyvinkään ampumisissa haavoittuneet leikattu – naispoliisi yhä kriittisessä tilassa