Winnyを狙ったワーム･ニュイルス情報 Part47

あーと、別件だがWMF脆弱性について
ttp://www.jpcert.or.jp/at/2005/at050014.txt
はともかくとして
> Windows XP will detect and process a WMF file based on its
> content ("magic bytes") and not rely on the extension alone,
> which means that a WMF sailing in disguise with a different
> extension might still be able to get you.
なんて話もあるので、拡張子偽装も可能。

しかも、コイツは問答無用でWindowsが実行するぞ。ダブルクリックの有無に関係なく。
> 問題のWMFファイルをデスクトップに置く
> 問題のWMFファイルが入ったフォルダを開く
だけでもOUTだ。nyの場合cashにあるうちはOKだが、downフォルダに落ちてきてたら
そこを見に行くだけでもUOT。仕込まれないことを祈れ。

Σ（ﾟдﾟlll）

>274　UOT→OUTな。
とりいそぎの対策としてはshimgvw.dllをシステムから削除する
ファイル名を指定して実行で、regsvr32 /U shimgvw.dll
ただし、これを消すとWindowsの画像とFAXビューワでの画像表示が
不能になる。ほかのツール（の独自dll）で表示させてるならOK。

これで、welomochを送り込まれると、あとは好き放題だな。
Microsoftの緊急パッチは、正月明けになるのかも。

これマジで怖いな。
shimgvw.dll を復活させたいときはどう打てばいいの？

regsvr32 shimgvw.dll

でいいのか。　制限付きユーザだからうまくいかなかっただけかな。

・拡張子偽装も可能
・実行しなくてもフォルダ見ただけで感染

無敵だな
ファイラー使ってればOKとかそういうもんでもないのかな……

ウイルスバスター更新できなくなってアンインストールしちゃった・・
変わりに入れたノートン重くて使いにくい〜　
もう一回バスターインストールしたら期限切れで起動しないし
参ったなぁ

>>280
ここはお前の日記帳じゃないんだ
そういうのはチラシの裏に書いとけ、なっ

nyにこの穴を利用したキンタマとかが流れたら洒落にならんな。
エクスプローラでDownフォルダ開いただけであぼーん・・・・

>>279
ExplorerというかWindowsの機能として内包されてる物だから
内的に利用してるファイラーも多いんじゃ無かろうか

WMF脆弱性に関しては、先生は今のところ対応できてないらしい。
詳細はセキュmemoとかスラドでも見てくれ。

ウイルスチェックベンダの対応はまちまち。
>>212のリンク先（現時点では単なるブラクラ仕様のサンプル）で
個別環境の確認をﾖﾛ。htmlで、リンクを読むだけでも発動する。

結構簡単に各種悪さを仕込めるのでしばらく要注意だな。

(同人誌)(C69)[カズマG-VERSION]TIMTIMマシン１５号（ガンダムSD ミーア本）
にウィルスと思われるexe発見
001.exeで自動起動するようにhtmlのソースが仕込まれてる。
まだ起動してないからどうなるかは不明。
ウィルスバスターで検知なし。

exeテキストで開いてみたらなんか文字例が大量にある。
単なる亜種っぽい。

wmf入りのzipとか流れそう

というかもう流れてるんだろうな..　拡張子偽装して。('A`)

苺キンタマの再来とか・・・(((((;ﾟДﾟ))))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

ワクワク

>>286
単なる亜種だね。McAfeeで検出する。
てか毎回だがこのサークルは自身で亜種を作成して自分の捏造本に混ぜて流してると思う。

亜種ってどういう意味か分かってるんかいな。
単なる亜種？　なんだそれ(w

>>292
http://66.102.7.104/search?q=cache:owHYs87QcWMJ:www.wdic.org/%3Fword%3DAntinny%25A1%25A5K%2B%253ATECH+%E5%8D%98%E3%81%AA%E3%82%8B%E4%BA%9C%E7%A8%AE&hl=en&lr=lang_ja&inlang=ja

日本国またはアメリカ合衆国、もしくはその両方の著作権法に触れる内容であると疑われることから表示できません。

>>294
そのトリはウイルスが付けるトリだから安全だと思われ。
ちなみにそのトリは�葛ﾉ東ゴムの原発情報を流したウイルスのトリ。

久しぶりに踏んでしまったが亜種っぽい？

C:\WINDOWS\Pornoshop_elomentsフォルダが作成されて、下のファイルが作られてた。
でポート25で通信されかけてた（単に25でつないできた奴がいただけかもしらんが）

2,289,461byte (無修正) (おちょくりんこ) [ユーザー名] ←HGの真似をしてたらリアルゲイに犯され号泣.zip
990,284byte kimmo.scr
1,292,412byte (ｼﾞｬｰﾝｼﾞｬｰﾝ) げぇっ [ユーザー名]! あわわわ…　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe

zipの中身はお気に入りフォルダのURLファイル（最上階層のみ）

>>296
きんもー☆

>>295
そうなんですか？さすがですね　ありがとうございます
だけどしばらくWMF関係は避けときます(((((;ﾟДﾟ))))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

Cドライブの空き容量が少なくなってきたので、
Winny2フォルダごとDドライブに移したのですが、大丈夫ですよね？

>>294
いや、だから……拡張子はWMFである必要はなくて、JPGとか、PNGとかBMPでも
とにかくWindows（の画像ファイルエンジンであるshimgvw.dll）が扱える
拡張子だと、今回の脆弱性に引っかかるってこと、なんだが。

ファイルの関連付けで、Windows Picture and Fax Viewerにリンクされてる
拡張子は全部危ないんだよ。たとえばZIPでアーカイブされていても、解凍先
のフォルダを見に行った時点で発動するし……。なお、現時点では、

> 手元の環境では「縮小版」と「並べて表示」の状態ではフォルダの内容を
> 表示しただけで発現するようだという感触を持ちました。（設定が「アイ
> コン」、「一覧」、「詳細」の場合には、とりあえずフォルダを開いただ
> けでは exploit の発動は起きないような感じでした）。

なんて話もある。一方で、

any application which automatically displays or renders WMF files is
vulnerable to the problem. This includes Google Desktop
WMFファイルを扱えるアプリのほとんどは、例のDLLを利用するのでたぶん全滅
Google Desktopでヒットしただけでも発動するとか。

ウイルスチェックベンダが対応し、徐々にトロイとして検出されるようになっては
きているが、画像ファイルに関してはデフォでチェックしない設定になってるかも
知れん。チェックしようとしてdownフォルダを直接開かないように（上部階層で
フォルダ指定で検索対象にできるように）、深い階層にしとくのも有効かな。

やっかいだのう。

ついに最後の牙城である画像にまできたか・・・という感じ

DLLをはずしただけじゃだめなの？

当たり前だけど「フォルダオプション」→「ファイルの種類」からWMFファイルを
削除してみたら発動しませんでした。shimgvw.dllそのものは削除しないから、
他の画像はWindowsの画像とFAXビューワで見られる。パッチ出るまではこれで
いーや。

画像のウィルスなんか昔からあったじゃん・・・

一体何があった

でも原理は単純だから対策するのも簡単だな

>>303
いやだから拡張子偽装(ry