[решено] Вирус JPG

[Baiker]

Недавно встретил вирус, который запускается при открытии тела жертвы, т.е. картинки в формате jpg, jpe, jpeg. Картинка открывается и заражаются все остальные картинки. Картинки являются переносчиками вредоносного кода и заражают видимо другие файлы. Интересно, как его туда внедрили? Кто-нибудь знает есть ли такие вирусы, которые заражают формат wmv?

[Petya V4sechkin]

Baiker, судя по бюллетеню MS04-028 (http://www.microsoft.com/technet/security/bulletin/ms04-028.mspx) (он вообще-то старый, от 2004 года):

This is a buffer overrun vulnerability.

What causes the vulnerability?
An unchecked buffer in the processing of JPEG images.
То есть, банальное переполнение буфера.

MS08-046 (http://www.microsoft.com/rus/technet/security/bulletin/ms08-046.mspx)

В чем причина уязвимости?
Она вызвана переполнением кучи при неправильном выделении памяти для специально созданного файла изображения модулем Microsoft для управления цветопередачей, входящим в состав компонента Microsoft ICM.

Каким образом злоумышленник может воспользоваться этой уязвимостью?
Атака возможна только в том случае, если пользователь откроет специально созданный файл изображения.

MS08-071 (http://www.microsoft.com/rus/technet/security/bulletin/ms08-071.mspx)

В способе, которым GDI обрабатывает целочисленные вычисления, существует уязвимость, делающая возможным удаленное выполнение кода. Она делает возможным удаленное выполнение кода, если пользователь открывает специально созданный файл изображения в формате WMF.

MS08-052 (http://www.microsoft.com/rus/technet/security/bulletin/ms08-052.mspx)

В способе обработки выделенной памяти интерфейсом GDI+ существует уязвимость, делающая возможным удаленное выполнение кода в том случае, если пользователь откроет специально созданный файл изображения в формате EMF, GIF, WMF, BMP или перейдет на веб-узел злоумышленника, на котором находится искаженное содержимое.

MS07-017 (http://www.microsoft.com/rus/technet/security/bulletin/ms07-017.mspx)

В методе обработки форматов курсоров, анимированных курсоров и значков существует уязвимость удаленного выполнения кода. Злоумышленник может воспользоваться этой уязвимостью, создав вредоносный курсор или файл значка, которые могут разрешить удаленное выполнение кода, если пользователь посетит вредоносный веб-узел или просмотрит специально сконструированное сообщение электронной почты.

есть ли такие вирусы, которые заражают формат wmv?
MS07-068 (http://www.microsoft.com/technet/security/bulletin/ms07-068.mspx)

What causes the vulnerability?
Incorrect parsing of Advanced Systems Format (ASF) files within the Windows Media Format Runtime.

ASF files may have the file extensions ASF, WMV, or WMA.

MS09-028 (http://www.microsoft.com/rus/technet/security/bulletin/ms09-028.mspx)

В способе анализа компонентом Microsoft DirectShow файлов мультимедиа QuickTime существует уязвимость, делающая возможным удаленное выполнение кода. Эта уязвимость делает возможным выполнение кода, если пользователь открывает особым образом созданный файл QuickTime.

[Baiker]

Антивирус Касперского определяет его как Trojan-Dropper_Win32

а где их можно подхватить. слышал что много фотостудий и порносайтов тогда полетело, но это не опасный был, я так понимаю.

[El Scorpio]

Картинки являются переносчиками вредоносного кода и заражают видимо другие файлы. Интересно, как его туда внедрили? »
Это не "картинка", а программа (двоичный код) - просто у этого файла используется специально подобранный "неправильный" заголовок от файла-рисунка, вызывающий при его открытии ошибку, которая приводит к тому, что компьютер начинает выполнять загруженную информацию, как программу.

Кто-нибудь знает есть ли такие вирусы, которые заражают формат wmv? »
Не знаю. Но если у разработчиков кодека руки кривые и мозги набекрень, подобную заразу написать можно.
Вот только сейчас в процессорах и ОС есть функция, блокирующая выполнение кода из области данных. Так что нынче такая зараза уже не актуальна.