Virus JPG

tilu · #1 (**permalink**) 30/09/2004, 14:02

El recientemente descubierto virus JPEG, es la consecuencia de una vulnerabilidad crítica que afecta a muchos productos de Microsoft y que permite realizar acciones maliciosas cuando se visualizan archivos JPEG, el formato más usado para enviar imágenes por correo electrónico o para incluirlas en páginas web.

Para que el PC sea infectado por el virus JPEG es preciso que el usuario vea las imágenes con el navegador Internet Explorer o con el programa de correo electrónico Outlook.

Según BBC, las primeras imágenes infectadas por el virus han sido detectadas en un grupo de discusión alojado en un servidor de la compañía EasyNews, donde se suelen intercambiar imágenes pornográficas. Después que la noticia fue dada a conocer, EasyNews desconectó el servidor afectado.

Algunas compañías de seguridad coinciden en que el virus podría eventualmente desarrollarse o mutar a un nivel superior en que verdaderamente cause daño generalizado.

Más información aquí y aquí

tilu · #2 (**permalink**) 30/09/2004, 14:03

Necesitaba un motivo más para terminar de odiar el IExplorer

orchabel · #3 (**permalink**) 30/09/2004, 14:07

MIeeercoles.... anda... y será que eso afecta también otros programas de edición de imágenes JPG. Estoy pensando seriamente en cambiar de navegador... Hola Firefox! ... espero que eso solamente sea de IE...

tilu · #4 (**permalink**) 30/09/2004, 14:20

Buscando más información sobre el tema, encontré que tan tan reciente no es este bichoso maloso.

Cita:

14 de junio de 2002

¿Imágenes JPEG infectadas?
Sophos informa sobre los riesgos del nuevo virus .JPG y urge a las compañías antivirus a actuar con cautela
Sophos, un líder mundial en soluciones antivirus para empresas, hace un llamamiento a la industria antivirus para actuar de forma responsable ante las noticias de un virus que puede infectar imágenes en formato JPEG.

Este virus, conocido como W32/Perrun-A, fue enviado directamente a la comunidad antivirus por su autor que lo considera una "prueba de concepto". Se extiende en la forma tradicional de los virus ejecutables Win32 (normalmente con el nombre proof.exe) y hace cambios en el registro de Windows de manera que cuando se haga doble clic sobre una imagen JPEG (.JPG) pasará primero por un programa llamado EXTRK.EXE antes de mostrar la imagen. Este programa ejecutará el código vírico que pudiera encontrarse en el archivo de imagen.

...
...
...

extracto de Sophos

Andariel · #5 (**permalink**) 30/09/2004, 14:24

dime Tilo, sabes qué antivirus ya estarán preparados para este nuevo bichito???.

Vaya, en bicho en una imagen, después qué?

tilu · #6 (**permalink**) 30/09/2004, 14:47

Panda y su "Enciclopedia de Virus" dice:

JPGDownloader

Nombre común: JPGDownloader
Nombre técnico: Constructor/JPGDownloader
Peligrosidad: Baja
Tipo: Riesgo de Seguridad
SubTipo: Generador de Virus
Efectos: Permite crear imágenes en formato JPG que aprovechan la vulnerabilidad Desbordamiento de búfer en procesamiento JPEG.
Plataformas que infecta: Windows 2003/XP/2000/NT/ME/98/95
Fecha de aparición: 24/09/2004
¿Está en circulación? No

Descripción Breve

JPGDownloader es un programa que permite crear imágenes en formato JPG que aprovechan la vulnerabilidad descrita en el boletín MS04-028 de Microsoft, denominada Desbordamiento de búfer en procesamiento JPEG.

Si una imagen creada especialmente mediante JPGDownloader es abierta empleando una aplicación vulnerable, dicha vulnerabilidad permite descargar un archivo desde Internet y ejecutarlo en el ordenador. El archivo descargado suele ser de naturaleza maliciosa: virus, gusanos, troyanos, spyware, adware, etc.

Es muy recomendable visitar la página oficial de Microsoft y comprobar si alguna de las aplicaciones vulnerables al Desbordamiento de búfer en procesamiento JPEG está instalada en su ordenador. En caso afirmativo, aplique el parche de seguridad correspondiente.

Síntomas Visibles

JPGDownloader es difícil de reconocer a simple vista, ya que no muestra mensajes o avisos que alerten sobre su presencia.

DETALLES TECNICOS

Efectos

JPGDownloader es un programa que permite crear imágenes en formato JPG que aprovechan la vulnerabilidad descrita en el boletín MS04-028 de Microsoft, denominada Desbordamiento de búfer en procesamiento JPEG.

Si una imagen creada especialmente mediante JPGDownloader es abierta empleando una aplicación vulnerable, dicha vulnerabilidad permite descargar un archivo desde Internet y ejecutarlo en el ordenador. El archivo descargado suele ser de naturaleza maliciosa: virus, gusanos, troyanos, spyware, adware, etc.

Es muy recomendable visitar la página oficial de Microsoft y comprobar si alguna de las aplicaciones vulnerables al Desbordamiento de búfer en procesamiento JPEG está instalada en su ordenador. En caso afirmativo, aplique el parche de seguridad correspondiente.

Otros Detalles

JPGDownloader está escrito en el lenguaje de programación Visual C.
JPGDownloader muestra en pantalla la siguiente ventana cuando es ejecutado:

En ella, pide que se introduzca la dirección web desde la que un archivo, que frecuentemente será malicioso, será descargado si la vulnerabilidad es explotada con éxito. Cuando se pulsa el botón Make, se generará un archivo JPG que contiene la información necesaria para descargar y ejecutar el archivo deseado en ordenadores vulnerables.

SOLUCION

¿Cómo saber si tengo JPGDownloader?

Para verificar con exactitud si JPGDownloader ha afectado su ordenador, dispone de las siguientes opciones:

Realizar un análisis completo del ordenador con su Panda Antivirus, después de verificar que está actualizado. Si no lo está y usted es cliente registrado de Panda Software, actualícelo pulsando aquí.
Chequear el ordenador con Panda ActiveScan, la herramienta gratuita de análisis online de Panda Software, que detectará rápidamente todos los posibles virus.

¿Cómo eliminar a JPGDownloader?

Después, si durante el proceso de análisis, Panda Antivirus o Panda ActiveScan detectan a JPGDownloader, el antivirus le dará automáticamente la opción de eliminarlo: hágalo, siguiendo las instrucciones del programa.

Notas adicionales:

Si su ordenador tiene Windows Millenium, pulse aquí para obtener más información sobre cómo eliminar el virus definitivamente.
Si su ordenador tiene Windows XP, pulse aquí para obtener más información sobre cómo eliminar el virus definitivamente.

¿Cómo protegerse de JPGDownloader?

Para mantenerse protegido, tenga en cuenta los siguientes consejos:

Compruebe si alguna de las aplicaciones vulnerables al Desbordamiento de búfer en procesamiento JPEG está instalada en su ordenador. En caso afirmativo, aplique el parche de seguridad correspondiente.
Instale un buen antivirus en su ordenador. Pulse aquí para conseguir el antivirus de Panda más adaptado a sus necesidades.
Mantenga su antivirus actualizado. Si su antivirus admite las actualizaciones automáticas, configúrelas para que funcionen siempre así.
Tenga activada la protección permanente de su antivirus en todo momento.

Panda Antivirus "Enciclopedia de Virus"

Andariel · #7 (**permalink**) 30/09/2004, 14:59

mmm, gracias tilu, muy valiosa información, habrá que estar alertas, solo una cosa a qué pantalla te refieres acaso pusiste alguna imagen?

tilu · #8 (**permalink**) 30/09/2004, 15:14

Listo, ya corregí el texto e incorporé la imagen que me faltó, además incluí la url de la fuente.

sagi · #9 (**permalink**) 30/09/2004, 16:07

Cita:

Iniciado por tilu

Listo, ya corregí el texto e incorporé la imagen que me faltó, además incluí la url de la fuente.

..... y dejaste de largo los "pulse aquí ".

Andariel · #10 (**permalink**) 30/09/2004, 16:54

gracias tilu

metacortex · #11 (**permalink**) 30/09/2004, 17:45

Cita:

Confirmando este temor, PandaLabs ya ha detectado la puesta en circulación de un kit, denominado Constructor/JPGDownloader que permite fabricar ficheros JPEG que aprovechan la vulnerabilidad Exploit/MS04-028. Concretamente, el kit permite especificar direcciones web desde la que se descarguen aplicaciones de todo tipo, simplemente visualizando el archivo JPEG maliciosamente construido.

tomado de: diarioTI

mmm... panda descubrió el asunto...
______________________________

imagen tomada de la citada fuente.

panda descubre muchas cosas!

______________________________

Cita:

El fallo se produce en la librería GDI+, usada por numerosas aplicaciones. Aunque Windows XP con el Service Pack 2 no es afectado en forma directa, si se ejecuta cualquiera de las otras aplicaciones vulnerables, el sistema será igualmente comprometido. No basta con descargar los parches para un programa, si no se hace lo mismo con los demás programas afectados.

tomado de: vsantivirus

la solución: SP2 (shame sha!)
______________________________

Cita:

Microsoft explicó que "la vulnerabilidad sólo podría ser explotada por un asaltante que convenciera a un usuario para que abriera un archivo realizado especialmente o para ver un directorio que contiene la imagen especialmente realizada", y publicó en su página el parche de seguridad que corrige el fallo.

tomado de: BBC mundo

pues ya estamos salvados no?... o... ¿qué tendrá el parche?
__________________________

definitivamente no se trata de un hoax (fue lo que pensé a priori cuando leí el post). quizás estemos por enfrentar una de las más escabrosas realidades de la historia del internet a nivel general... ya no es cuestión de reservarse abrir los e-mail sospechosos, ni de bloquear la cookies de las páginas que no son de nuestra confianza, ni de "barrer" el ordenador periódicamente con nuestro antivirus favorito... estamos hablando de que cuando se descarga un miserable jpeg desde el explorador, un virus, troyano, spyware o cualquier bicho ya puede ingresar y hacer lo que quiera con nuestra vida.

dice BBC en una entrevista a david perry (antivirus trend micro):"Casi siempre se lanza un virus durante esa conferencia, porque todos los expertos en virus están fuera de casa".

pues no estoy seguro de eso... lo que sí puedo visualizar es la gran coyuntura por la cual está pasando el mundo de la informática, comenzando por el lanzamiento del dichoso SP2... la siguiente opinión, por supuesto, es personal: de ser verdad esta noticia y colocándome en los zapatos de las grandes compañías... ¿qué mejor momento puede haber para soltar esa bomba?. demostrado está que esos malparidos viven estafando al usuario, pero esta vez me parece que el terrorismo imperialista informático ha llegado a una de sus escaladas más osadas.

veamos este hecho desde un punto de vista sensato: ¿a quiénes conviene más que exista un software capaz de anidar un virus en un formato tan popular como el jpeg?... ¿a un lammer sin oficio o a los "creadores" del "antídoto"?... y digo "antídoto" porque son los que se crean a partir del veneno... como verán, en términos informáticos esto no debería ser.

entonces el cuadro es patético: un conjunto de usuarios utópicos vivimos con la esperanza de refugiarnos en linux o a la espera de que cualquier mago invente un SO que nos saque los pies del fango, mientras empresas como microsoft, panda y norton nos lanzan dardos a cada momento, al mismo tiempo que nos muestran la mesiánica "cura".

pero este no es un dardo... es todo un misil genocida.

¿cuál es el motivo?

P: ¿lanzar el longhorn como panacea milagrosa para nuestros males?

R: podría ser... pero en todo caso representaría sólo una parte de la causa.

P: ¿apoderarse del internet y privatizarlo?

R: sí.

saludos.

Takitei · #12 (**permalink**) 30/09/2004, 19:27

Por eso es que hay que pasarse a Firefox.

Es tan sencillo hacer un virus para una imagen... por ejemplo con PHP GD se hace fácil. Es una imagen generada a punta de código... pero Firefox... simplemente NO abre imágenes generadas por código con contenido corrupto.

No se si han programado con la biblioteca GD de PHP, pero cuando haces algo mal, Firefox solo te dice que no se puede mostrar la imagen, mientras que el Internet Explorer te devuelve los 1000 y 1 errores que tiene el script...

He ahi la diferencia principal y las causas de las vulnerabilidades del famoso IE. Un saludo!

tilu · #13 (**permalink**) 01/10/2004, 07:22

Cita:

Iniciado por tilu

Según BBC, las primeras imágenes infectadas por el virus han sido detectadas en un grupo de discusión alojado en un servidor de la compañía EasyNews, donde se suelen intercambiar imágenes pornográficas. Después que la noticia fue dada a conocer, EasyNews desconectó el servidor afectado.

Bueno, como siempre dicen... la mejor protección es abstenerse.

Cita:

Iniciado por Sagi

..... y dejaste de largo los "pulse aquí ".

nop, eso fue intencional, para que supieran los servicios que ofrece Panda