Nieuw lek in XPSP2 via WMF files

[Verwijderd]

Een aantal site berichten het al: Er is sinds vandaag (28-12) een nieuw lek gevonden in een volledig gepatched XP-SP2 systeem. Via corrupte WMF bestanden (windows meta file, het file formaat dat o.a. door het clipboard gebruikt word) kan er willekeurige code gerund worden. Op dit moment is er een werkende exploit in omloop, deze exploit haalt een Trojan binnen. Niet alleen IE is vatbaar, ook andere browsers/programma's die WMF files kunnen of willen openen (Bijv. met Firefox, als je kiest voor openen/uitvoeren van zo'n fout bestand of Google Desktop die netjes dat file gaat indexeren). Op dit moment is er nog geen patch beschikbaar.

Links:

http://secunia.com/advisories/18255/ (Secunia, de mensen die het lek gevonden hebben)

http://isc.sans.org/diary.php?storyid=975 (Internet Storm Center, code yellow op dit moment met meer achtergrond info)

http://www.f-secure.com/weblog/ (F-Secure blog, goede uitleg plus wat achtergrond)

nieuws: 'Extreem kritieke' fout bedreigt Windows XP (Hoe kon ik deze vergeten )

[ Voor 5% gewijzigd door Verwijderd op 28-12-2005 21:15 ]

[oheng]

Wat ik me afvraag, is in hoeverre mensen die niet de MS Picture and Fax viewer gebruiken affected zijn. Dus ipv daarvan bijv. IrFanView of XnView gebruiken, maken die ook gebruik van SHIMGVW.DLL?
En hoe zit het met systemen die altijd "detail view" in explorer.exe hebben, in tegenstelling tot thumbnail view?


P.S.: voor de mensen die deze exploit willen testen, in het filmpje op Sans.org staat in het begin een link waar de werkende trojan (nu nog) staat. Ik heb zelf helaas op het moment geen geschikte test PC. Dus daarom mijn vraag.

[Verwijderd]

Verwijderd schreef op woensdag 28 december 2005 @ 21:14:
http://secunia.com/advisories/18255/ (Secunia, de mensen die het lek gevonden hebben)

De geïnfecteerde mensen hebben het gevonden.
0 hour exploit komende van de 'smitfraud' jongens.

oheng schreef op donderdag 29 december 2005 @ 13:11:
Wat ik me afvraag, is in hoeverre mensen die niet de MS Picture and Fax viewer gebruiken affected zijn. Dus ipv daarvan bijv. IrFanView of XnView gebruiken, maken die ook gebruik van SHIMGVW.DLL?

Irfanview en XnView zijn ook vulnerable, met het extra probleem dat Hardware DEP de exploitatie niet zal stoppen, zelfs niet met 'DEP voor alle programma's' ingeschakeld.

En hoe zit het met systemen die altijd "detail view" in explorer.exe hebben, in tegenstelling tot thumbnail view?

Dan is een single click op de betreffende file genoeg.(image wordt evengoed geparsed)
Echter zal HW DEP de exploitatie dan moeten kunnen stoppen.

[Verwijderd]

Blijkbaar is een eerdere poging om dit lek te dichten mislukt: http://redxii.blogspot.co...n-graphics-rendering.html (en MS bulletin met patches voor eerdere WMF-exploits)

[de Rochebrune]

Even mijn reactie van de FP hier ook neergezet.

De voorlopige "oplossing" is als volgt:

- Klik Startmenu -> Uitvoeren
- typ: "regsvr32 -u %windir%\system32\shimgvw.dll"
  (zonder aanhalingstekens)
- klik op [OK]

Hierdoor wordt de kwetsbare dll van "Microsoft Picture and Fax Viewer" buiten werking gesteld.
Het bijeffect is wel dat je de thumbnails in explorer kwijt bent. Deze workaround is later (als er een patch is) weer in een handomdraai terug te draaien met:
Start--> Run --> regsvr32 %windir%\system32\shimgvw.dll

---

http://www.microsoft.com/...rity/advisory/912840.mspx

Workarounds

Microsoft has tested the following workaround. While this workaround will not correct the underlying vulnerability, it will help block known attack vectors. When a workaround reduces functionality, it is identified in the following section.

Un-register the Windows Picture and Fax Viewer (Shimgvw.dll) on Windows XP Service Pack 1; Windows XP Service Pack 2; Windows Server 2003 and Windows Server 2003 Service Pack 1

To un-register Shimgvw.dll, follow these steps:

1. Click Start, click Run, type "regsvr32 -u %windir%\system32\shimgvw.dll" (without the quotation marks), and then click OK.
2. A dialog box appears to confirm that the un-registration process has succeeded. Click OK to close the dialog box.

[b]Impact of Workaround:[b] The Windows Picture and Fax Viewer will no longer be started when users click on a link to an image type that is associated with the Windows Picture and Fax Viewer.

To undo this change, re-register Shimgvw.dll by following the above steps. Replace the text in Step 1 with "regsvr32 %windir%\system32\shimgvw.dll" (without the quotation marks).

edit:
Deze workaround werkt maar ten dele!!
Zoals hieronder te lezen valt zit het probleem hem dus in gdi32.dll en niet in shimgvw.dll

Voorlopig dus maar geen internet explorer en google desktop gebruiken.
Vervangen van de gdi32.dll zou een echte oplossing zijn, maar op eigen risisco.

[ Voor 19% gewijzigd door de Rochebrune op 29-12-2005 18:07 ]

[oheng]

Het probleem zit hem (weer) in GDI32.dll lees ik nu. Dat verklaart al wat meer. Ook waarom het niet alleen om *.WMF bestanden gaat.

Hier een quote van R1CH, die een gepatchte GDI32.DLL heeft gemaakt, op de www.somethingawful.com fora:

Technical details for those curious:

The problems exists in gdi32.dll's metafile parser, NOT the shimgvw.dll as some sites report. Disabling shimgvw.dll only stops one vector of exploitation.

The error handling code in gdi32.dll looks like this

code:.text:77F24914 checkError: ; CODE XREF: PlayMetaFileRecord(x,x,x,x)+18B4j
.text:77F24914 movzx eax, word ptr [ebx+6]
.text:77F24918 cmp eax, 0Fh
.text:77F2491B jz continueParsing ; default
.text:77F24921 push 0
.text:77F24923 lea ecx, [ebx+10]
.text:77F24926 push ecx
.text:77F24927 movzx ecx, word ptr [ebx+8]
.text:77F2492B push ecx
.text:77F2492C push eax
.text:77F2492D push dword ptr [ebp-124]
.text:77F24930 call _Escape@20 ; Escape(x,x,x,x,x)


Unfortunately one of the parser routines allows an attacker to control ebx. Let's see where _Escape takes us...

(after some jumping around)

code:.text:77F26935 mov esi, [ebp+arg_10]
...
.text:77F33EEF setAbortProc: ; CODE XREF: PlayMetaFileRecord(x,x,x,x)+1007Bj
.text:77F33EEF push esi
.text:77F33EF0 push dword ptr [ebp-8]
.text:77F33EF3 call _SetAbortProc@8 ; SetAbortProc(x,x)


Oh dear, pushing an attacker-controlled variable to SetAbortProc! Any guesses as to what SetAbortProc does? Yup, that's right.

My patch was quite simple:

code:.text:77F33EEF setAbortProc: ; CODE XREF: PlayMetaFileRecord(x,x,x,x)+1007Bj
.text:77F33EEF nop
.text:77F33EF0 nop
.text:77F33EF1 nop
.text:77F33EF2 nop
.text:77F33EF3 nop
.text:77F33EF4 nop
.text:77F33EF5 nop
.text:77F33EF6 nop
.text:77F33EF7 nop
.text:77F33EF8 jmp loc_77F34525


No SetAbortProc call = no code execution vector. And as a handy side effect, it turns out the SetAbortProc call isn't even needed so applications don't crash. Behold the power of the nop!

[Vaan Banaan]

Hmm, ik moet ineens inloggen om dat bericht te mogen lezen. Misschien is het druk daar.
Anyway,op deze pagina waar ik nu niet meer op mag zonder in te loggen staat dat bericht. En hoe te patchen. (op eigen riciso natuurlijk)

Ok. Attempt 2. Again, this is ONLY for Windows XP SP2 fully patched systems, with gdi32.dll file version "5.1.2600.2770 (xpsp_sp2_gdr.051005-1513)" and SHA-1 hash fa02573ce6239d1c375db93058810fb968390485.

1. Download http://r-1.ch/gdi32.zip
2. Extract to windows/system32/dllcache. Yes to overwrite.
3. Rename windows/system32/gdi32.dll to gdi32.old
4. Copy windows/system32/dllcache/gdi32.dll to windows/system32/
5. Reboot.

Press "Cancel" to any Windows File Protection prompts.

En via slashdot een demo (3.4MB) gevonden, wat er gebeurt.

edit:
ah, ik zie dat die ook in de tekst van de tweede link staat

http://www.websensesecuri...ages/alerts/wmf-movie.wmv
mensen met Google Desktop (en misschien ook ander soortgelijke programma's): Niet het malformed WMF plaatje downloaden. GD gebruikt de metadata om te indexeren, dus als je antivirus scanner het niet oppikt, ben je gelijk besmet
Van de F-Secure link in de openingspost:

You can get burned even while working in a DOS box! This happened on one of our test machines where we simply used the WGET command-line tool to download a malicious WMF file. That's it, it was enough to download the file. So how on earth did it have a chance to execute?
The test machine had Google Desktop installed. It seems that Google Desktop creates an index of the metadata of all images too, and it issues an API call to the vulnerable Windows component SHIMGVW.DLL to extract this info. This is enough to invoke the exploit and infect the machine. This all happens in realtime as Google Desktop contains a file system filter and will index new files in realtime.

[ Voor 41% gewijzigd door Vaan Banaan op 29-12-2005 18:04 ]

[Dryw.Filtiarn]

Her en der wordt gezegt dat de DEP compatible processoren (zoals de AMD 64) niet gevoelig zijn voor dit virus, omdat de DEP dit type exploids (overflows) zou moeten voorkomen.
Om hier uitsluitsel over te geven zal ik zo gaan testen met een schijf waar ik nog Windows XP (fully patched SP2) op heb staan en sowieso nog leeg gehaald moest worden.

Het systeem is een AMD Athlon 64 (die volgens diverse bronnen) geen probleem zou moeten vormen.

[Verwijderd]

Dryw.Filtiarn schreef op donderdag 29 december 2005 @ 18:52:
Het systeem is een AMD Athlon 64 (die volgens diverse bronnen) geen probleem zou moeten vormen.

Lees dit: http://www.viruslist.com/en/weblog?weblogid=176771047

[Verwijderd]

je weet nu een paar dingen die je zou kunnen doen om het te voorkomen... bijvoorbeeld dat "unregisteren"

wat ik nu belangrijker vind..
wat moet je doen als je op een site geweest bent waar de.wmf geopend word?

ik heb het namelijk zojuist gehad, het ging zoals in het filmpje.. alelen het begin ervan dan.. de xmf file werd gedownload en geopend, ik zag de microsoft image viewer.. daarna... niets!
ik ging naar mn temporary internet files daar zag ik de file XML.WMF, afkomstig van *knip*. Ook zag ik de file Loader .exe afkomstig van *knip*.. ik neem aan dat loader.exe uitgevoerd is door de wmf file

alleen wat moet ik nou doen om het te verwijderen? ik kan gewoon de 2 bestanden verwijderen.. maar dan ben ik volgens mij niet beschermd? wat kun je doen om het "virus?" te verwijderen nadat je op een site geweest bent waarop deze geopend is.. het lijkt mij niet dat een anti spyware tool, of het simpelweg verwijderen van de bestanden genoeg is om dit helemaal te verwijderen?

kan ik maar beter gewoon formatteren dan?

alvast bedankt,
groeten nicster

[ Voor 6% gewijzigd door pasta op 30-12-2005 18:18 ]

[de Rochebrune]

nicster, dat is onmogelijk om te zeggen.

Het gaat hier niet om een virus. Het gaat hier om een algemene vulnerabilty die de aanvaller complete controle over je PC geeft. Het hangt er dus maar net van af wat die site heeft gedaan nadat ze de controle over je PC hebben gekregen.

[Stan]

Ik heb de sploit nu draaien op mijn bak en dit is echt te ziek voor woorden. Ik kan inderdaad zonder enige moeite elke user die mijn linkje maar opent gewoon infecteren met een virus, trojan of een shell spawnen. Het werkt gewoon zo simpel en prima... (en NEE, niet vragen/mailen voor de code die je misschien niet kunt vinden, je gaat er toch alleen mee klieren).

Overigens gaat deze bug nog jaaaaren kutten, want die blijft lekker op duizenden spamsites en kliersites staan voor de miljoenen(/miljard?) mensen die nog een ungepatchte Win XP draaien (als de patch er straks is), zie maar hoeveel mensen er nog 2000 draaien...

Mijn vraag is, hoe kan ik een kantoor dat geheel op Windows XP icm IE draait nu beveiligen? Een filter op de proxy/gateway voor WMF is niet echt afdoende lees ik overal. En om nou die viewer uit te schakelen gaat me wat ver, net als het installeren van Firefox for everyone.
Mijn tweede vraag trouwens is of mensen al andere bestandstypes hebben gezien met deze sploit, bijvoorbeeld de genoemde JPG of GIF, want dan ben je natuurlijk zonder twijfel meteen de sjaak. Dat zou al helemaal een ultieme code red zijn (wat dit ook al is, maar goed). Waar en hoe?

[ Voor 32% gewijzigd door Stan op 30-12-2005 17:07 ]

[Verwijderd]

Stan schreef op vrijdag 30 december 2005 @ 17:02:
(en NEE, niet vragen/mailen voor de code die je misschien niet kunt vinden, je gaat er toch alleen mee klieren).

Snie waar hoor!

Mijn vraag is, hoe kan ik een kantoor dat geheel op Windows XP icm IE draait nu beveiligen?

IE security level op high zetten. Dit zal echter alleen de vector IE afschermen.

Een filter op de proxy/gateway voor WMF is niet echt afdoende lees ik overal.

Als je de mogelijkheid hebt tot het scannen van fileheaders dan kun je op die manier de (malicious) wmf files blokkeren.

En om nou die viewer uit te schakelen gaat me wat ver,

Dat schermt slechts een vector af.

net als het installeren van Firefox for everyone.

Ze hoeven alsnog maar de wmf te openen en klaar..

Mijn tweede vraag trouwens is of mensen al andere bestandstypes hebben gezien met deze sploit, bijvoorbeeld de genoemde JPG of GIF, want dan ben je natuurlijk zonder twijfel meteen de sjaak.

Top criminelen zitten achter deze exploit, als dat zou werken via de browser hadden ze dat wel direct gedaan. (Browser probeert bepaald image formaat te parsen en dat werkt niet)

Meer info en wat mythes opgehelderd @ http://www.viruslist.com/en/weblog?weblogid=176771047

[josjos]

Is er dus wat aan te doen? of kan ik beter opnieuw installeren?.. hij zit echt helemaal vast bij mijn kennis.. hijblijft hangen. Kan met mazzel net een backupmaken.. duurde uren..

[Brent]

Is er ook maar iets of iemand die dat hele .wmf formaat uberhaupt gebruikt?

[HunterPro]

Breepee schreef op vrijdag 30 december 2005 @ 18:55:
Is er ook maar iets of iemand die dat hele .wmf formaat uberhaupt gebruikt?

ja, jij, zodra je ook maar *iets* op je clipboard zet. Hier in huis overigens ook 2 winXP Pro machines infected. Ik zelf niet (gebruik zelf FF). En de laptop draait Ubuntu. Scheelt weer hoop gemier.

[ Voor 23% gewijzigd door HunterPro op 30-12-2005 19:26 ]

[Verwijderd]

Breepee schreef op vrijdag 30 december 2005 @ 18:55:
Is er ook maar iets of iemand die dat hele .wmf formaat uberhaupt gebruikt?

Paint Shop Pro

Stan schreef op vrijdag 30 december 2005 @ 17:02:
Mijn vraag is, hoe kan ik een kantoor dat geheel op Windows XP icm IE draait nu beveiligen? Een filter op de proxy/gateway voor WMF is niet echt afdoende lees ik overal. En om nou die viewer uit te schakelen gaat me wat ver, net als het installeren van Firefox for everyone.

Als je de viewer niet wil deïnstalleren is volgende oplossing het beste om IE af te schermen:
- Rechtsklik op Startknop en klik op Verkennen (Explore).
- Ga naar menu Extra (Tools) en klik op Mapopties (Folder Options).
- Ga naar tab Bestandstypen (File Types) en scroll onder Geregistreerde bestandstypen (Registered file types) naar het bestandstype met extensie WMF (WMF-afbeelding of WMF-file).
- Zet een vinkje voor Openen na downloaden bevestigen (Confirm open after download).
Hierdoor zal IE tenminste vooraf vragen of je het bestand wil openen of opslaan, in plaats van het meteen te openen.
Zoals in dit topic staat kan je ook de Windows-viewer voor afbeeldingen en faxen uit schakelen (alleen XP en 2003), zodat ook Windows Explorer niet meer kwetsbaar is (want zelfs als de Explorer niet in Thumbnail weergave staat, kan zo'n WMF-bestand geactiveerd worden door de Preview-functie tijdens het selecteren).
Als laatste stap kun je ook andere image viewers (zoals IrfanView en XnView) indien geïnstalleerd tijdelijk uninstallen, want die maken oudere Windows-versies (NT4 en 2000) ook kwetsbaar.

Stan schreef op vrijdag 30 december 2005 @ 17:02:
Mijn tweede vraag trouwens is of mensen al andere bestandstypes hebben gezien met deze sploit, bijvoorbeeld de genoemde JPG of GIF, want dan ben je natuurlijk zonder twijfel meteen de sjaak. Dat zou al helemaal een ultieme code red zijn (wat dit ook al is, maar goed). Waar en hoe?

Zoals op de MS Security Advisory staat (http://www.microsoft.com/...rity/advisory/912840.mspx), kan Internet Explorer deze schadelijke afbeeldingen (WMF, maar ook bijvoorbeeld naar JPG of GIF hernoemd) niét automatisch weergeven of inladen. Schadelijke WMF-bestanden die hernoemd zijn naar bv. JPG of GIF zijn dus niet meteen kwetsbaar in IE aangezien deze niet door de Windows-viewer maar door IE zelf (tevergeefs) proberen geopend te worden.
Schadelijke WMF-bestanden echter worden standaard wel automatisch geopend in de Windows-viewer (XP en 2003), tenzij je bovenstaande stappen uitvoert om eerst een bevestiging te vragen

[Stan]

Mijn virusscanner (Symantec Antivirus Corporate 10) heeft zich net geupdate en hij pakt nu elke geinfecteerde WMF voor me op en flikkert hem in de quarantaine.
Ziet ernaar uit dat het probleem dus redelijk preventief onder controle gaat komen nu...
Ik kan hier met geen mogelijkheid meer een infected WMF openen, en alle verschillende exploitcodes en commando's ingebakken erin maakt geen verschil dus hij kijkt ook goed erin (en niet oppervlakkig).


Mooi zo! Nu MS nog met een patch die de oorzaak aanpakt.

[Verwijderd]

"Perhaps the most worrying thing about this whole issue is that NTFS rights have no effect on whether or not the vulnerability will be exploited.

Some people run under a limited user account (which among other things restricts NTFS rights). This may make people feel that they are protected from malware. In this case, nothing could be much further from the truth."

dit is weer een leuk stukje FUD. je kan dit wèl oplossen met ACL's.

[ Voor 3% gewijzigd door Verwijderd op 31-12-2005 01:09 ]

[Verwijderd]

Als je maar genoeg moeite doet kun je (uiteindelijk) ook een admin onkwetsbaar laten zijn voor deze vulnerability. Dus waarom doet de security wereld hier toch zo moeilijk over?

Aardige redenatie, is het niet?

Is een limited user by default vulnerable? Ja.
Is het FUD? Nee.

And that's all I want to say.

[Stan]

Inmiddels is er een worm voor de sploit die zich via MSN verspreidt.
Ik wist dat het zover zou komen maar het is nu een feit;
http://www.nu.nl/news/649...andse_MSN-gebruikers.html

[Bart1983]

En op fok staat het nu ook en volgens mij is de naam van de kaspersky expert de schouw die hier ook regelmatig mensen helpt

EDIT: Ow ik zie dat hij hier net boven staat . Maar zijn voor het detecteren van dit virus extra definities nodig of word deze herkent door de oude wmf exploit definitie?

[ Voor 41% gewijzigd door Bart1983 op 31-12-2005 17:49 ]

[Verwijderd]

Bart1983 schreef op zaterdag 31 december 2005 @ 17:44:
En op fok staat het nu ook en volgens mij is de naam van de kaspersky expert de schouw die hier ook regelmatig mensen helpt

EDIT: Ow ik zie dat hij hier net boven staat . Maar zijn voor het detecteren van dit virus extra definities nodig of word deze herkent door de oude wmf exploit definitie?

Zie http://www.viruslist.com/en/weblog?weblogid=176892530 voor wat meer technische info.

[Oid]

Even een vraagje over dit virus,

ik kreeg een link via msn, toen had ik er nog niet van gehoord, dus klikken. Ikke allemaal rare dingen zien. Nu is de vraag, heb een hardwarefirewall, software van ms en nietstoegestaan, kunnen ze dan alsnog bekijken in mijn pc? Ik heb gelijk systeemherstel gedaan spyware scan, virusscan alles erop en eraan.

Hoe kom ik er nou vanaf, als het er nog in zou zitten??

Alvast bedankt

[Dryw.Filtiarn]

Voor zover ik tot nu toe heb gezien is er nog geen methode om deze exploit en bijkomende narigheden weer ongedaan te krijgen. De enige oplossing naar mijn idee is gewoon zorgen dat je niet geinfecteerd raakt
De kans daartoe kan voor een groot deel gereduceerd worden door de smimgvw.dll uit te schakelen (zoals hierboven al ergens beschreven is) en wat altijd belangrijk is, is zorgen dat je een goede virusscanner hebt (van McAfee weet ik dat deze deze exploit detecteerd en onschadelijk maakt voordat er schade is aangericht).

[Brent]

Verwijderd schreef op vrijdag 30 december 2005 @ 19:41:
[...]
Paint Shop Pro

ondersteunen != gebruiken. Ik kan me niet voorstellen dat er ook maar iemand bewust .wmf gebruikt.

---

OK, klembord dus.... Ook tekst?

[Dryw.Filtiarn]

Toch wel Al het artwork dat bijvoorbeeld bij MS Office zit is of in het WMF of in het EMF bestandsformaat. En je wilt niet weten hoeveel mensen die plaatjes gebruiken in hun documenten.

[plakbandrol]

Klopt het dat het selecteren van de WMF al genoeg is om hem te laten uitvoeren?

[Dryw.Filtiarn]

Voor windows XP geldt dat in ieder geval. Op moment dat je de file aanklikt zonder openen wordt de file al geparst om de bijbehorende bestandsinformatie op te halen. Dit is voldoende om de Exploit uit te voeren.

[plakbandrol]

Dryw.Filtiarn schreef op zondag 01 januari 2006 @ 14:29:
Voor windows XP geldt dat in ieder geval. Op moment dat je de file aanklikt zonder openen wordt de file al geparst om de bijbehorende bestandsinformatie op te halen. Dit is voldoende om de Exploit uit te voeren.

dat heb ik gemerkt.. lol

[Verwijderd]

Als je de SurfRight feature van Hitman Pro ingeschakeld dan draaien de meeste internetapplicaties met sterk gereduceerde rechten waardoor exploits geen vat krijgen op je PC. Zie ook het nieuwsbericht bovenaan de Hitman Pro pagina.

[Bart1983]

Volgens deze site is er al een 2de genaratie exploit:

http://isc.sans.org/diary.php?storyid=998

Hier is ook te zien dat veel antivirus software deze 2de niet vinden.

Ik hoop dat kaspersky hem snel vind

[de Rochebrune]

Er is een tijdelijke fix beschikbaar:
http://www.hexblog.com/2005/12/wmf_vuln.html

Je kan zelf testen of je PC kwetsbaar is:
http://www.hexblog.com/20...ulnerability_checker.html

Andere nuttige links:
http://isc.sans.org/diary.php?storyid=992
http://castlecops.com/article6436.html
http://www.grc.com/groups/securitynow:423

[pasta]

Interessante post op F-Secure's weblog overigens, het blijkt dat zelfs Windows 3.0 vulnerable is.

[Dryw.Filtiarn]

Rochebrune schreef op maandag 02 januari 2006 @ 11:52:
Er is een tijdelijke fix beschikbaar:
http://www.hexblog.com/2005/12/wmf_vuln.html

Persoonlijk ben ik zelf niet zo'n groot voorstander van dergelijke 3th party fixes. Waarom niet? Wie zegt dat degene die zo'n fix uitbrengt niet zelf een of andere backdoor of andere malicious zooi in heeft gebouwd? Microsoft zelf is op dat gebied tenminste nog enigszins te vertrouwen.

[Bobco]

Dryw.Filtiarn schreef op maandag 02 januari 2006 @ 12:51:
[...]


Persoonlijk ben ik zelf niet zo'n groot voorstander van dergelijke 3th party fixes. Waarom niet? Wie zegt dat degene die zo'n fix uitbrengt niet zelf een of andere backdoor of andere malicious zooi in heeft gebouwd? Microsoft zelf is op dat gebied tenminste nog enigszins te vertrouwen.

Dat gevoel heb ik zelf ook, maar na wat rondlezen heb ik 'm toch maar geinstalleerd. Voor iets met een dergelijke impact ga ik niet zitten wachten tot MS eindelijk met een fix komt.

[thesystem]

ik las overigens deze procedure om het virus weer te verwijderen, mocht je toch geinfecteerd worden:

Je kunt het verwijderen dit te doen. Ga naar Start, Uitvoeren en tik "regedit". Ga daarna weer Start, dan Uitvoeren te gaan en tik "cmd". Typ daarna het onderstaande en druk op enter:

attrib -s -h c:\windows\system32\taskdrv32.exe

Nu even één keer op Ctrl+Alt+Delete drukken en het process genaamd taskdrv32.exe sluiten. Hierna weer naar de commandoprompt en het bestand verwijderen:

del c:\windows\system32\taskdrv32.exe

Het virus is nu van je computer. Het probleem is alleen dat het ook het register heeft aangepast zodat het elke keer dat jij een programma wilt starten, het virus ook gestart wordt (wat nu dus niet meer gebeurd omdat je het virus hebt verwijderd). Ga naar de Register-editor die je net hebt opgestart en ga naar de volgende map:

HKEY_CLASSES_ROOT\exefile\shell\open\command

Verander daar de standaardwaarde van "taskdrv32.exe "%1" %*" in "%1" %* (dus gewoon het "taskdrv32.exe" stuk verwijderen). Dat is alles om van het virus af te komen...

[de Rochebrune]

Dryw.Filtiarn schreef op maandag 02 januari 2006 @ 12:51:
[...]

Persoonlijk ben ik zelf niet zo'n groot voorstander van dergelijke 3th party fixes. Waarom niet? Wie zegt dat degene die zo'n fix uitbrengt niet zelf een of andere backdoor of andere malicious zooi in heeft gebouwd? Microsoft zelf is op dat gebied tenminste nog enigszins te vertrouwen.

---

Dat gevoel had ik aanvankelijk ook.

Daarom heb ik ook die andere links erbij gezet!

Deze fix is helemaal doorgelicht. Zowel door de source code te bekijken, en ook dmv reverse-engineering. de fix is "in orde" bevonden door isc.sans.org en castlecops.com en door grc.com.


http://isc.sans.org/diary.php?storyid=992

Note: Tom has taken this thing apart and looked at it very, very closely. It does exactly what it advertises and nothing more. The wmfhotfix.dll will be injected into any process loading user32.dll. It then will then patch (in memory) gdi32.dll's Escape() function so that it ignores any call using the SETABORTPROC (ie. 0x09) parameter. This should allow for Windows to display WMF files normally while still blocking the exploit. We want to give a huge thanks to Ilfak Guilfanov for building this and for allowing us to host and distribute it.

http://isc.sans.org/diary.php?storyid=999

Ilfak Guilfanov has released an updated version of his unofficial patch for the Window's WMF issue. We have reverse engineered, reviewed, and vetted the version here.

(ik vermoed dat "vetted" een typo is en dat "vetoed" bedoeld wordt)

news.grc.com --> grc.news

Ilfak has completed a nice, safe, WMF system vulnerability tester. This page describes it and contains the latest download link ...

en ook: http://www.grc.com/groups/securitynow:423


edit:
@thesystem

Wat jij beschrijft is een manier om van EEn bepaald virus (WORM_KELVIR.DH Trojan) af te komen.

Maar het gaat hier niet om een virus. Er is dus (helaas!) ook geen standaard manier om je PC weer schoon te krijgen als je besmet bent. Zie ook mijn reactie op nicster van 29-11 hierboven:
Rochebrune in "Nieuw lek in XPSP2 via WMF files"

[ Voor 12% gewijzigd door de Rochebrune op 02-01-2006 13:46 ]

[magnifor]

Fix maar geinstalleerd. Geen zin om op Microsoft te wachten.

[Dryw.Filtiarn]

Ach ik wacht wel geduldig af wat MS gaat doen hiermee. Ik heb een Athlon 64 (dus DEP) en ik heb al gekeken wat het effect is van de betreffende WMF files op mijn systeem Helemaal nul-komma-niks, ik zit dus wel veilig, fix of geen fix.

[IJnte]

Waarom wordt er op de frontpage zo weinig over dit virus gesproken?? Op Nu.nl wordt er gesproken over het "Grootste Lek Allertijden".
Ik zie wel iets staan over een MSN virus (wat hetzelfde is), maar als het zo link is lijkt het me verstandig meer informatie over dit onderwerp te verschaffen is het niet??

[de Rochebrune]

Dryw.Filtiarn schreef op maandag 02 januari 2006 @ 14:33:
Ach ik wacht wel geduldig af wat MS gaat doen hiermee. Ik heb een Athlon 64 (dus DEP) en ik heb al gekeken wat het effect is van de betreffende WMF files op mijn systeem Helemaal nul-komma-niks, ik zit dus wel veilig, fix of geen fix.

Dat is niet zeker. Volgens verschillende bronnen helpt Hardware DEP wel iets maar niet in alle gevallen.

edit: zie oa http://www.viruslist.com/en/weblog?weblogid=176771047
Maar ik ben het al op meer sites tegen gekomen.

[ Voor 12% gewijzigd door de Rochebrune op 02-01-2006 14:58 ]

[Dryw.Filtiarn]

Ik heb op een oude schijf waar ik toevallig nog een WinXP SP2 op had staan geprobeerd het virus te openen om te kijken wat het effect zou zijn.
Het begin van infectie is identiek, dat wil zeggen de WMF file wordt gedownload en geopend met de Windows Picture and Fax viewer, daarna gebeurt er verder helemaal NIETS. Op het systeem dat ik hier heb staan maken de huidige varianten van het virus vooralsnog geen kans.

[Verwijderd]

Ik kwam het virus (Bloodhoud.Exploit.56 in bestand 323ydqj3.wmf) denk ik gisteren ook tegen op een website. Firefox vroeg of ik het bestand wilde openen, maar dat heb ik uiteraard niet gedaan. De auto-protect van Norton AV 05 schreeuwde ook meteen brand. Het vreemde was wel dat de locatie die Norton opgaf een tijdelijke map was (denk internet cache) en dat Norton daardoor niets aan het virus kon doen (niet kon verwijderen). Waarschijnlijk omdat het dus niet op de PC is gekomen.
Maar ik was toch aardig geschrokken en dus meteen alle cache en temp bestanden gewist, gescand en nog eens online gescand met McAfee Free Scan. Niets meer te vinden. Dus toen maar enigzins gerust gaan slapen. Vanochtend weer gescand, weer niets. Loop ik nu risico?
Of hebben Firefox en Norton voldoende bescherming geboden. En in geval van de twee virusscanners ook voldoende gescant?

[Dryw.Filtiarn]

Verwijderd schreef op maandag 02 januari 2006 @ 16:06:
Het vreemde was wel dat de locatie die Norton opgaf een tijdelijke map was (denk internet cache) en dat Norton daardoor niets aan het virus kon doen (niet kon verwijderen). Waarschijnlijk omdat het dus niet op de PC is gekomen.

Hij komt wel in je cache, maar waarschijnlijk doordat het bestand nog in gebruik was en gelocked is voor andere programma's kun je er niets mee doen. Als je je browser afsluit zou de file weer vrijgegeven moeten worden en zou Norton probleemloos iets met het bestand moeten kunnen doen.

[Verwijderd]

Er blijkt nu een nieuwe, licht aangepaste versie van de WMF exploit rond te gaan via e-mail.

-- December 31, 2005 --
Source code for a tool that creates Exploit-WMF files has been posted to the web. This source creates malicious WMF files that exploit the vulnerability in a slightly different way than previous ones. While generic detection has existed since the discovery of Exploit-WMF, this new code requires the first adjustment to that detection in order to cover some exploits that may be created by this source code. The updated detection has been released in the 4664 DAT files.

-- Update 1 --
An email message containing an Exploit-WMF sample built from this new code has been spammed. The message appears as follows:

Subject: Happy New Year
Body: picture of 2006
Attachment: HappyNewYear.jpg (actually a WMF file with a .JPG extension)

Meer info ook op http://sunbeltblog.blogsp...it-confirmed-in-spam.html

[Verwijderd]

Verwijderd schreef op maandag 02 januari 2006 @ 19:44:
Er blijkt nu een nieuwe, licht aangepaste versie van de WMF exploit rond te gaan via e-mail.

[...]

Meer info ook op http://sunbeltblog.blogsp...it-confirmed-in-spam.html

Die is er al langere tijd hoor

Er zijn ook websites waarbij je direct als je ze bezoekt geinfecteerd raakt, op dit moment zijn dat nog vooral wat dubieuze sites(crack zoekmachines bijvoorbeeld) maar het kan ook zo zijn dat er eventueel toch andere websites ook geinfecteerde wmf's gaan aanbieden.

Het is nog steeds redelijk stil rond deze exploit, maar er kunnen in vrij korte tijd heel wat pc's besmet worden als mensen hier virussen voor gaan maken. Ik kan me zo al heel wat gemene truuks bedenken die je uit kunt halen met deze exploit. Wat ik er namelijk van begreep is dat dit virus altijd kan werken, ongeacht waar de wmf code in zit. Dit kan dus ook bijvoorbeeld in een figuur in een word document zitten, of in files met een andere extensie waar wel een WMF header op zit

[Dryw.Filtiarn]

Een kaartje van de McAfee site met statistieken over deze exploit

[Verwijderd]

Op F-Secure's blog werd vandaag alweer melding gemaakt van een schadelijke mail.
Hett wordt met andere woorden pas echt gevaarlijk nu er een tool (zie eerste zin in mijn vorige quote) rondcirculeert waardoor ineens iedereen van die schadelijke WMF-exploits kan produceren.

[ Voor 7% gewijzigd door Verwijderd op 02-01-2006 20:01 ]

[CycloneX]

Dryw.Filtiarn schreef op maandag 02 januari 2006 @ 19:58:
Een kaartje van de McAfee site met statistieken over deze exploit

Grappig detail tussen Belgie en de rest van Europa

[Dryw.Filtiarn]

Verwijderd schreef op maandag 02 januari 2006 @ 20:00:
Op F-Secure's blog werd vandaag alweer melding gemaakt van een schadelijke mail.
Hett wordt met andere woorden pas echt gevaarlijk nu er een tool (zie eerste zin in mijn vorige quote) rondcirculeert waardoor ineens iedereen van die schadelijke WMF-exploits kan produceren.

Die tool was er direct dinsdag al en sterker nog een van de eerste openbare meldingen van deze exploit had deze code er zelfs als proof-of-concept bij geplaatst Ik heb nog wel even naar die code gekeken, het ging zo op het eerste gezicht om een Perl script.

[Verwijderd]

Ja, maar er is wel nog een verschil tussen code (die je eerst moet compileren) en een tool (die je in enkele klikken meteen een aangepaste exploit geeft)

[TheovdS]

SANS roept op onofficiële patch te installeren

quote: http://tweakers.net/nieuws/40576/

Het SANS Institute's Internet Storm Center (ISC) wijst Windows-gebruikers er dringend op een onofficiële patch te installeren om op die manier het WMF-lek snel te dichten. Het is onverstandig af te wachten tot Microsoft in actie komt, aldus SANS. De aanbeveling volgt op een nieuwe golf van aanvallen die misbruik maken van de manier waarop Windows metadatabestanden implementeert. Afgelopen zaterdag werd de exploitcode voor dit lek op internet gepubliceerd, wat de zaak bepaald geen goed heeft gedaan. Inmiddels zijn er al diverse virussen ontdekt, waaronder HappyNewYear.jpg dat via e-mail verstuurd wordt en dat door Windows als WMF-bestand herkend en uitgevoerd wordt om vervolgens Backdoor.Bifrose te downloaden.

Computer / Hacker / Virus (cartoon/illustratie)HappyNewYear.jpg is niet alleen schadelijk als het wordt aangeklikt, maar wordt ook in werking gebracht als de map, waarin het bestand zit, wordt geopend. Of als het wordt geïndexeerd door een zoekprogramma als Google Desktop. Ilfak Guilfanov, volgens F-Secure een van de beste "low-level" Windows experts in de wereld, heeft een patch geschreven die door het SANS is getest. Het lek blijkt overigens in alle Windows-versies sinds Windows 3.0 aanwezig en treft dus niet alleen gebruikers van Windows XP en Windows Server 2003 zoals in een eerder stadium gemeld werd. Het WMF-lek wordt al het grootste lek in de computergeschiedenis genoemd.

Idereen de patch al geinstalleerd ?

[ Voor 3% gewijzigd door TheovdS op 02-01-2006 21:54 . Reden: Patch link toegevoegd ]

[DaannO]

Edit

[ Voor 98% gewijzigd door DaannO op 02-01-2006 22:10 ]

[Coach4All]

DaannO schreef op maandag 02 januari 2006 @ 21:55:
Heb net over die patch op nu.nl gelezen. .........

[ Voor 35% gewijzigd door Coach4All op 02-01-2006 22:17 . Reden: Hij had de thread niet gelezen... ]

[DaannO]

Coach4All schreef op maandag 02 januari 2006 @ 22:08:
[...]


Heb jij de tread wel gelezen??

offtopic:
Uhmz not exactly denk stille hint om mn post te verwijderen

[alx]

Wat ik nou interessant vind, is of DEP nou altijd hiertegen helpt of niet. Ik lees hier en daar van wel en ik lees ook soms dat het slechts in enkele gevallen helpt. Heeft dit te maken met of DEP expliciet aangezet is voor alle processen of alleen voor systeem processen (default)?

Als DEP ingrijpt wordt het overtredende proces beeindigd, neem ik aan. Welk proces is dat en is dat een kritiek systeemproces / -service? Zelfs als je niet geinfecteerd wordt, blijft je systeem dan bruikbaar (e.g. IE gekillt) of wordt het toch rebooten?

[dr snuggles]

Kan deze patch ook op XP Nederlands geinstalleerd worden
http://www.hexblog.com/security/files/wmffix_hexblog13.exe

Ik neem aan van wel, maar je ik gok het er niet op.

[ Voor 50% gewijzigd door dr snuggles op 02-01-2006 22:25 ]

[Verwijderd]

Heeft er al iemand bijeffecten of problemen met de patch gevonden?

Ik heb hem zelf al geinstalleerd en alle programma's werken prima, maar ik zit te aarzelen of ik klanten moet adviseren om dat ook te doen.

[TheBorg]

Ik snap de ophef niet helemaal, Norton Corporate onderschept het ding gewoon.

[Jazzy]

Zijn er hier ook systeembeheerders die overwegen om deze patch op al hun clients te installeren? Of liever nog, die dit al gedaan hebben?

Stukje van ISC:

For those who are manually patching systems using Ilfak Guilfanov's unofficial patch, handler Tom Liston says that you can install it in an unattended mode by using this incantation:

wmffix_hexblog13.exe /VERYSILENT /SUPPRESSMSGBOXES

We do not have a working .msi version and am actively seeking help from anybody who can get one working. This will make life a whole lot easier for enterprise administrators. Unfortunately the above command will not work pleasantly in a GPO startup script, since a reboot is required for it to take effect. After the reboot, it will try to install again which will create an annoying error message to users.

Mijn probleem is dat ik niet kan testen want ik zit nu thuis. Dat betekent dat ik ofwel zorg dat hij zometeen in het inlogscript staat en morgenochtend op alle werkplekken, ofwel dat ik nu niets doe en morgen in de loop van de dag ga prutsen.

[NitroX infinity]

wwillem schreef op maandag 02 januari 2006 @ 22:24:
Kan deze patch ook op XP Nederlands geinstalleerd worden
http://www.hexblog.com/security/files/wmffix_hexblog13.exe

Ik neem aan van wel, maar je ik gok het er niet op.

Jawel, ik heb 'm er ook al op staan, werkt gewoon.

[Jazzy]

TheBorg schreef op maandag 02 januari 2006 @ 22:32:
Ik snap de ophef niet helemaal, Norton Corporate onderschept het ding gewoon.

Geeft niet. Norton Antivirus Corporate Edition onderschept enkele virussen die gebruik maken van deze exploit. Helaas worden er continu nieuwe varianten gemaakt die zichzelf met allerlei truuks door AV en IDS software heeb proberen te loodsen. En met succes helaas.

[tatata]

Geen bij effect gevonden.

Ik las:

The results are not all that good:
eTrust-Vet 12.4.1.0 01.01.2006 Win32/Worfo
McAfee 4664 01.01.2006 Exploit-WMF
Symantec 8.0 01.01.2006 Backdoor.Trojan

All the others failed to detect the sample.

Dat kapersky dus mij niet beschermt? Denk je dat je een topproduct hebt kan je beter die suffe mcaffee nog draaien ook?

edit: Ik run nu de full live scan via live.com en die geeft 1 virus en 2 infecties aan.

[ Voor 18% gewijzigd door tatata op 02-01-2006 22:44 ]

[dr snuggles]

NitroX infinity schreef op maandag 02 januari 2006 @ 22:33:
[...]

Jawel, ik heb 'm er ook al op staan, werkt gewoon.

Tnx .

[AW_Bos]

Leuk, maar als je die onofficiele patch installeert, en microsoft wil dan een patch installeren vanzelf s.m.v. de auto-update, is dat dan niet vragen om problemen omdat de PC niet 'goed' gepatched kan worden. Ik neem aan dat Microsoft de betere patches maakt dan SANS...

[Jazzy]

AW_Bos schreef op maandag 02 januari 2006 @ 22:41:
Ik neem aan dat Microsoft de betere patches maakt dan SANS...

Wanneer?

[AW_Bos]

binnenkort, lijkt me...
Ik heb wel vertouwen in MS. Zo'n grote marktleider en positie enzo

[ Voor 11% gewijzigd door AW_Bos op 02-01-2006 22:45 ]

[NitroX infinity]

AW_Bos schreef op maandag 02 januari 2006 @ 22:41:
Leuk, maar als je die onofficiele patch installeert, en microsoft wil dan een patch installeren vanzelf s.m.v. de auto-update, is dat dan niet vragen om problemen omdat de PC niet 'goed' gepatched kan worden. Ik neem aan dat Microsoft de betere patches maakt dan SANS...

1. De patch is niet gemaakt door SANS maar door Ilfak Guilfanov.
2. Er wordt dan ook geadviseerd door de maker om zijn patch te uninstallen alvorens een officiëele patch wordt geïnstalleerd.

[Koen_R]

simulacrum schreef op maandag 02 januari 2006 @ 22:23:
Wat ik nou interessant vind, is of DEP nou altijd hiertegen helpt of niet. Ik lees hier en daar van wel en ik lees ook soms dat het slechts in enkele gevallen helpt. Heeft dit te maken met of DEP expliciet aangezet is voor alle processen of alleen voor systeem processen (default)?

Als DEP ingrijpt wordt het overtredende proces beeindigd, neem ik aan. Welk proces is dat en is dat een kritiek systeemproces / -service? Zelfs als je niet geinfecteerd wordt, blijft je systeem dan bruikbaar (e.g. IE gekillt) of wordt het toch rebooten?

DEP blokkeert het proces dat probeert om een buffer overflow (dat vaak wordt veroorzaakt door een programmeer fout) te veroorzaken. Door een buffer overflow wordt code geschreven op een plek waar het niet mag, doordat dat niet gebeurd kan die code natuurlijk ook niet uitgevoerd worden. In het geval bij die 'vulnerability test' breekt hij gewoon het programma af.

[Jazzy]

Maar nogmaals, zitten we hier met allemaal thuisgebruikers? Geen systeembeheerders die zich nu afvragen wat wijsheid is?

[alx]

Koen Rotteveel schreef op maandag 02 januari 2006 @ 22:47:
[...]
DEP blokkeert het proces dat probeert om een buffer overflow (dat vaak wordt veroorzaakt door een programmeer fout) te veroorzaken. Door een buffer overflow wordt code geschreven op een plek waar het niet mag, doordat dat niet gebeurd kan die code natuurlijk ook niet uitgevoerd worden. In het geval bij die 'vulnerability test' breekt hij gewoon het programma af.

Hoe zo'n exploit werkt, snap ik wel, maar wat ik niet kan rijmen is dat er dus een user proces gekillt wordt, aangezien die code uitvoert waar het niet mag, terwijl ik dacht dat DEP onder Winxp per default werkt bij "essential Windows programs and services only" (uit Winxp). Die vulner test lijkt mij daar niet onder vallen. Dus om hiertegen te beschermen, moet je DEP expliciet voor alle processen aangezet hebben.
Als ik hoor dat "DEP hiertegen werkt", verwacht ik dat dat per default bedoeld is (en dan moet het overtredende proces dus een "essential Win prog/service" zijn). Hoeveel users zetten DEP nou expliciet voor alle processen aan?

[AW_Bos]

NitroX infinity schreef op maandag 02 januari 2006 @ 22:46:
[...]

1. De patch is niet gemaakt door SANS maar door Ilfak Guilfanov.
2. Er wordt dan ook geadviseerd door de maker om zijn patch te uninstallen alvorens een officiëele patch wordt geïnstalleerd.

Op puntje 2, maar als Windows automagisch alle updates gaat downloaden.. tja... dan kan je wel de Sjaak zijn als Windows zijn 'nieuwe' patch niet kan installeren...
Ik installeer deze tijdelijke patch dan ook liever niet, en ben dan ook extra waakzaam.
De laatste virusdefinities heb ik dan wel gelukkig.

Anyway. Mijn PC gaat morgen toch uit voor een kleine week omdat ik toch morgen weg ga, en tegen die tijd dat ik weer terug ben is er vast wel een officiele patch uit .

[Verwijderd]

AW_Bos schreef op maandag 02 januari 2006 @ 22:41:
Leuk, maar als je die onofficiele patch installeert, en microsoft wil dan een patch installeren vanzelf s.m.v. de auto-update, is dat dan niet vragen om problemen omdat de PC niet 'goed' gepatched kan worden. Ik neem aan dat Microsoft de betere patches maakt dan SANS...

Ben ik mee eens, als je de voorzorgsmaatregelen treft die ik hier eerder had gepost en (eventueel ) een virusscanner draait, wordt het sowieso al een pak moeilijker om zo'n WMF-bestand binnen te halen.
Het is namelijk niet zo'n exploit die zonder eigen acties je systeem kan binnendringen, geen Blaster-geval dus

[Dryw.Filtiarn]

Daar ben ik het niet mee eens wat je nu zegt. Deze exploit kan wel degelijk zonder directe actie van de gebruiker op het systeem komen. Bezoek aan een website waar een file met de WMF exploit staat of een popup waar de WMF exploit in staat is voldoende om deze exploit op je pc binnen te krijgen. IE (meest gebruikt) zal de WMF files automatisch proberen te openen. En inderdaad kun je door te voorkomen dat de WMF files geopend kunnen worden voorkomen dat een exploit met de WMF extensie geopend wordt. ECHTER er zijn inmiddels al meer extensies die gebruikt worden, waaronder het veel gebruikte jpg en gif.
Voor de rest kun je je tegen deze exploit voor een deel wel wapenen, o.a. doormiddel van virusscanners, maar een deel van de virusscanners herkend geen van de exploit varianten en en de meeste anderen herkennen slechts enkele varianten. Er is inmiddels zelfs al een proof of concept die het onmogelijk maakt om met de huidige herkenningsmethoden in de AV tools deze exploit te herkennen.

Conclusie is, installeer gewoon deze patch. En eerlijk gezegt is mijn verwachting dat MS nog wel contact zal hebben met de maker van deze patch (mede gezien zijn bekendheid) en daarmee wel zal zorgen dat de MS patch probleemloos geinstalleerd zal kunnen worden

[ Voor 12% gewijzigd door Dryw.Filtiarn op 03-01-2006 00:04 ]

[Verwijderd]

Dryw.Filtiarn schreef op dinsdag 03 januari 2006 @ 00:01:
Daar ben ik het niet mee eens wat je nu zegt. Deze exploit kan wel degelijk zonder directe actie van de gebruiker op het systeem komen. Bezoek aan een website waar een file met de WMF exploit staat of een popup waar de WMF exploit in staat is voldoende om deze exploit op je pc binnen te krijgen. IE (meest gebruikt) zal de WMF files automatisch proberen te openen. En inderdaad kun je door te voorkomen dat de WMF files geopend kunnen worden voorkomen dat een exploit met de WMF extensie geopend wordt. ECHTER er zijn inmiddels al meer extensies die gebruikt worden, waaronder het veel gebruikte jpg en gif.

Je hebt dus duidelijk mijn post niet gelezen:

Verwijderd schreef op vrijdag 30 december 2005 @ 19:41:
Zoals op de MS Security Advisory staat (http://www.microsoft.com/...rity/advisory/912840.mspx), kan Internet Explorer deze schadelijke afbeeldingen (WMF, maar ook bijvoorbeeld naar JPG of GIF hernoemd) niét automatisch weergeven of inladen. Schadelijke WMF-bestanden die hernoemd zijn naar bv. JPG of GIF zijn dus niet meteen kwetsbaar in IE aangezien deze niet door de Windows-viewer maar door IE zelf (tevergeefs) proberen geopend te worden.
Schadelijke WMF-bestanden echter worden standaard wel automatisch geopend in de Windows-viewer (XP en 2003), tenzij je bovenstaande stappen uitvoert om eerst een bevestiging te vragen

Het is met andere woorden bewezen dat een hernoemde WMF (naar bv. JPG of GIF) niet door IE gedownload maar geopend zal worden, wat niét zal lukken. Test het zelf maar uit met een simpele webpagina, je krijgt gewoon een rechthoek met een rood kruisje in.

Dryw.Filtiarn schreef op dinsdag 03 januari 2006 @ 00:01:
Voor de rest kun je je tegen deze exploit voor een deel wel wapenen, o.a. doormiddel van virusscanners, maar een deel van de virusscanners herkend geen van de exploit varianten en en de meeste anderen herkennen slechts enkele varianten. Er is inmiddels zelfs al een proof of concept die het onmogelijk maakt om met de huidige herkenningsmethoden in de AV tools deze exploit te herkennen.

Norton Antivirus 2005 herkent de betreffende exploit hier prima, in het andere geval wordt het aangeduid als BloodHound.Exploit xx. Bovendien verwees ik al opzettelijk naar het topic Wel of niet een virusscanner gebruiken?, juist om die discussie hier te vermijden

[Jazzy]

Dryw.Filtiarn schreef op dinsdag 03 januari 2006 @ 00:01:
En eerlijk gezegt is mijn verwachting dat MS nog wel contact zal hebben met de maker van deze patch (mede gezien zijn bekendheid) en daarmee wel zal zorgen dat de MS patch probleemloos geinstalleerd zal kunnen worden

Dat is niet het probleem. Je kunt niet zomaar een stuk code uitschakelen wat al generaties lang in Windows zit. WMF stamt uit de tijd dat Internet nog gewoon Arpanet heette. WMF is oorspronkelijk niet eens bedoeld als bestandsformaat maar als methode om door te geven hoe vesnters moeten worden opgebouwd, een WMF-bestand bestaat gewoon uit een serie opdrachten die Windows moet uitvoeren.

Onderdeel daarvan is de foutafhandeling, dat is het deel waar nu misbruik van wordt gemaakt. Die kun je niet zomaar uitschakelen. Windows printing is WMF-gebasseerd, daar wil je echt wel foutafhandeling op hebben.

Kortom, een simepele patch zal functionaliteit stuk maken.

[Verwijderd]

Dryw.Filtiarn schreef op dinsdag 03 januari 2006 @ 00:01:
Daar ben ik het niet mee eens wat je nu zegt. Deze exploit kan wel degelijk zonder directe actie van de gebruiker op het systeem komen. Bezoek aan een website waar een file met de WMF exploit staat of een popup waar de WMF exploit in staat is voldoende om deze exploit op je pc binnen te krijgen. IE (meest gebruikt) zal de WMF files automatisch proberen te openen.

Er is een behoorlijk verschil tussen deze WMF-exploit en de RPC-exploit waarvan Blaster gebruikmaakte. Even een stukje geschiedenis: Blaster scande poorten van kwetsbare pc's, en kon code uitvoeren (zoals de computer laten herstarten) door een ernstig lek dat een buffer overrun in de Remote Procedure Call-interface kon veroorzaken. Daarbij was dus geen gebruikersinteractie vereist.
De WMF-exploit zit echter in de Windows Graphic Device Interface, en die tot op heden enkel kwetsbaar is indien de gebruiker zelf naar een verdachte site gaat of een verdachte mail opent en zelf toestemming geeft om de WMF (al dan niet hernoemd) te openen.

Jazzy schreef op dinsdag 03 januari 2006 @ 00:37:
[...]
Kortom, een simepele patch zal functionaliteit stuk maken.

Inderdaad, deze hotfix patcht de SETABORT functie niet, ze schakelt gewoon de hele SETABORT functie uit:

Technical details: this is a DLL which gets injected to all processes loading user32.dll.
It patches the Escape() function in gdi32.dll. The result of the patch is that the SETABORT escape sequence is not accepted anymore.

I can imagine situations when this sequence is useful. My patch completely disables this escape sequence, so please be careful.

Er gaat dus wel degelijk functionaliteit verloren bij het installeren van deze hotfix.

[ Voor 11% gewijzigd door Verwijderd op 03-01-2006 01:03 ]

[Pendaco]

whoei, ik kreeg van virusalert vandaag ook een mailtje in de bus.
Maar ik laat die patch even voor wat het is.

Ik kwam net wel tot de ontdekking dat mn scanner (gratis Antivir) m, waaschijnlijk was dat vanochtend al 2x had geblokkeerd.

Ik heb die tip om te vragen alvorens het bestand te openen, maar wel ingesteld.

[Verwijderd]

Het doet me trouwens wat denken aan dat zogenaamde "Windows XP Service Pack 3", dat ook niet van MS afkomstig was en hotfixes installeerde.
MS raadde dan ook snel af dat pakket te installeren, omdat het incompatibiliteit met programma's kon veroorzaken en omdat het niet grondig getest was: http://www.pcmweb.nl/nieuws.jsp?id=902375
Ik wacht dan ook liever op een officiële patch van Microsoft zelf, die niet meer functionaliteit blokt dan nodig is en tenminste grondig getest werd.

[ Voor 25% gewijzigd door Verwijderd op 03-01-2006 01:16 ]

[Jazzy]

Verwijderd schreef op dinsdag 03 januari 2006 @ 01:14:
Ik wacht dan ook liever op een officiële patch van Microsoft zelf, die niet meer functionaliteit blokt dan nodig is en tenminste grondig getest werd.

Ik ben bang dat ik me dat niet kan veroorloven. Het is nu ofwel vertrouwen op een patch waarvan ik precies weet wat hij doet, ofwel wachten tot 'the shit the fan hits'.

Voor alle duidelijkheid, dan heb ik het dus over het bedrijfsnetwerk wat ik beheer. Klotesituatie, dat wel.

[Verwijderd]

Daar heb je toch al die vorige geposte en gequote voorzorgsmaatregelen voor? Bieden die dan nog niet genoeg bescherming, om nog wat functies uit te schakelen ook

Ik hou je natuurlijk niet tegen, over het algemeen is een patch een patch, maar als je dan uiteindelijk 2 patches geïnstalleerd hebt voor hetzelfde lek komen daar gegarandeerd problemen van.
Just my 2 cents

[ Voor 45% gewijzigd door Verwijderd op 03-01-2006 01:32 ]

[Jazzy]

Nee, de geleerden zijn het er namelijk niet over eens of Windows alleen naar de extensie kijkt of ook naar de magic bytes van een (al dan niet hernoemd) WMF-bestand.

[Jazzy]

Verwijderd schreef op dinsdag 03 januari 2006 @ 01:28:
Ik hou je natuurlijk niet tegen, over het algemeen is een patch een patch, maar als je dan uiteindelijk 2 patches geïnstalleerd hebt voor hetzelfde lek komen daar gegarandeerd problemen van.

Ik zal niet domweg een 2e patch voor dit issue installeren, ik gebruik WSUS dus er wordt pas wat geïnstalleerd als ik het zeg.

Bovendien ben ik zometeen in de gelegenheid om rustig te testen en te kijken wat de MS patch precies gaat doen. Als het nodig is om deze tijdelijke patch eerst te verwijderen dan is dat geen probleem.

[Dryw.Filtiarn]

Jazzy schreef op dinsdag 03 januari 2006 @ 01:33:
Nee, de geleerden zijn het er namelijk niet over eens of Windows alleen naar de extensie kijkt of ook naar de magic bytes van een (al dan niet hernoemd) WMF-bestand.

Het is inmiddels al aangetoond dat WMF files hernoemd kunnen worden naar andere bestandsformaten zoals GIF en JPG zonder dat dit de werking van de exploit veranderd. Dat wil zeggen dat ze in betreffende library "normaal" verwerkt zullen worden door de WMF routines.

[Jazzy]

Dryw.Filtiarn schreef op dinsdag 03 januari 2006 @ 06:59:
[...]

Het is inmiddels al aangetoond dat WMF files hernoemd kunnen worden naar andere bestandsformaten zoals GIF en JPG zonder dat dit de werking van de exploit veranderd. Dat wil zeggen dat ze in betreffende library "normaal" verwerkt zullen worden door de WMF routines.

Dat begreep ik ook, daarom neem ik ook geen risico door simpelweg WMF-bestanden te blokken op de proxy en mailserver. Dat wil zeggen, ik weet dus dat ik daar niet op kan vertrouwen.

Maar omdat in Verwijderd in "Nieuw lek in XPSP2 via WMF files" het tegendeel wordt beweerd wil ik dit maar even in het midden laten. Ik zal eerst die MS advisory eens bestuderen.

Edit: bestudeerd. De conclusie in het bericht van SecondChoice lijkt niet te kloppen. Sterker nog, er staat expliciet dat de inhoud van een bestand op meer manieren wordt bepaald dan alleen de extensie.

If I block .wmf files by extension, can this protect me against attempts to exploit this vulnerability?
No. Because the Graphics Rendering Engine determines file type by means other than just looking at the file extensions, it is possible for WMF files with changed extensions to still be rendered in a way that could exploit the vulnerability.

[ Voor 28% gewijzigd door Jazzy op 03-01-2006 07:45 ]

[Arnout]

Wie heeft er al een IPTABLES scriptje om dit te blocken?

Op Sans.org wordt aangeraden naast de patch, ook een netblock toe te passen.
http://isc.sans.org/diary.php?date=2006-01-01

Recommended Block List
Published: 2006-01-01,
Last Updated: 2006-01-01 20:42:52 UTC by Johannes Ullrich (Version: 1)

I hate block lists... maybe because I have been on the 'wrong end' of them in the past. But after careful consideration, we do recommend blocking traffic from these two netblocks:

InterCage Inc.: 69.50.160.0/19 (69.50.160.0 - 69.50.191.255)
Inhoster: 85.255.112.0/20 (85.255.112.0 - 85.255.127.255)


The list may be updated later. We do not expect to make this a "regular feature". But at this time we find that it is necessary to point out these particular two netblocks.


They have been associated with a number of high profile criminal activities in the past. A good number of WMF exploits use name servers or other resources in these netblocks. They have been non responsive to current and past requests to remove malicious content.

[ Voor 78% gewijzigd door Arnout op 03-01-2006 09:20 ]

[Jazzy]

Arnout schreef op dinsdag 03 januari 2006 @ 09:00:
Wie heeft er al een IPTABLES scriptje om dit te blocken?

Huh? Je blokkeert deze adressen gewoon net zoals ieder ander adres of netblock.

[Arnout]

Jazzy schreef op dinsdag 03 januari 2006 @ 09:22:
[...]
Huh? Je blokkeert deze adressen gewoon net zoals ieder ander adres of netblock.

Zoiets???:

code:

iptables -N wmfblock
iptables -A wmfblock -j LOG --log-prefix "WMF Block:" -m limit 
--limit 1/m
iptables -A wmfblock -j DROP

iptables -A INPUT -s 69.50.160.0/19 -s 85.255.112.0/20 -j wmfblock

[ Voor 3% gewijzigd door Arnout op 03-01-2006 09:28 ]

[Jazzy]

Arnout schreef op dinsdag 03 januari 2006 @ 09:26:
[...]
Zoiets

Weet ik niet, ik gebruik een firewall met een hele prettige grafische interface en bovendien een uitstekende Help-functie. Wat ik meer bedoel eigenlijk, wat heeft dit met het topic te maken?

[Arnout]

Jazzy schreef op dinsdag 03 januari 2006 @ 09:37:
[...]
Weet ik niet, ik gebruik een firewall met een hele prettige grafische interface en bovendien een uitstekende Help-functie. Wat ik meer bedoel eigenlijk, wat heeft dit met het topic te maken?

Ik mistte een stukje iptables in dit topic zodat je de veiligheid van netwerken achter iptables routers kunt verhogen. Iets wat je direct aan je firewall kunt toevoegen en wat je veiligheid ten aanzien van de WMF exploit verhoogt.

[Jazzy]

Als je als systeembeheerder niet weet hoe je een stukje netwerk moet blocken op je firewall dan ben je slechter af als je een kant en klaar scriptje krijgt aangereikt. Gebruik de gelegenheid door eens man iptables te doen of type eens how to block ip address with iptables in Google.

Je bereikt evengoed je doel, al duurt het een half uurtje langer. Het grote verschil is dat je geleerd hebt wat je doet en hoe je het doet. Daarmee verhoog je pas echt de veiligheid van je netwerk.

[Zwerver]

Jazzy schreef op maandag 02 januari 2006 @ 22:56:
Maar nogmaals, zitten we hier met allemaal thuisgebruikers? Geen systeembeheerders die zich nu afvragen wat wijsheid is?

Tot nu toe hebben wij het nog niet geinstalleerd, maar ik ga as we speak dat ding testen en automatisch installeren als er geen nare bij-effecten zijn.

[Thexder]

Erop gewezen door 'n vriend van me en na diverse berichten op internet (zoals op Nu.nl en WebWereld.nl), heb ik de patch geïnstalleerd via deze link die ook in het WebWereld-artikel staat genoemd.

Nu wil ik over die fix zelf nog wel even het een en ander weten:

1. Ik heb die patch dan wel geïnstalleerd, maar moet ik 'm dan niet uitvoeren ofzo? Die vriend van me beweert dat met deze patch-installatie de fix is uitgevoerd, oftewel dat 'de pleister is geplakt'. Is dat zo? Als ik namelijk in die map kijk waar die patch bij mij is geïnstalleerd (C:\Program Files\WindowsMetafileFix) dan tref ik daar 5 bestanden aan: unins000.dat, unins000.exe, wmfhotfix.cpp, compile.bat, Readme.txt. Het enige betand wat uitvoerbaar is, naast het verwijder-bestandje unins000.exe, is compile.bat. Moet ik dat .bat bestandje dan soms uitvoeren? Is dat niet wat vreemd om een .bat bestandje (een MS-DOS bestand feitelijk!) te draaien in het huidige Windows XP-geweld? En vóer ik dat .bat bestand dan (in een DOS-box) uit, dan krijg ik de melding dat de gebruikte commando's in dat .bat bestand 'niet herkend worden als een interne of externe opdracht'. Dus dan wordt die fix toch nóg niet uitgevoerd of snap ik het niet?

2. En hoe zit dat met dat probleem rondom de Windows Picture and Fax Viewer (WPFV) ? Diezelfde vriend wees mij een paar dagen geleden op deze waarschuwing. Ik heb toen uit voorzorg die WPFV Viewer uitgeschakeld zoals dat bij die waarschuwing beschreven staat. Heeft het WMF-'lek' iets te maken met de WPFV-situatie? Zo JA, kan ik desondanks dan, als blijkt dat ik mijn computer toch juist gefixt heb op de manier uit vraag 1, mijn WPFV wel weer gaan gebruiken (door de Viewer via het register weer in te schakelen, zoals die waarschuwing ook beschreef) ?

[ Voor 4% gewijzigd door Thexder op 03-01-2006 11:11 ]

[Jazzy]

Zwerver schreef op dinsdag 03 januari 2006 @ 10:57:
[...]


Tot nu toe hebben wij het nog niet geinstalleerd, maar ik ga as we speak dat ding testen en automatisch installeren als er geen nare bij-effecten zijn.

Ik heb maar alvast voor je getest.

Vannacht heb ik eerst thuis getest en gekeken hoe de patch zich gedraagt, qua reboot en scripting. Dat is best heel simpel en net niet ideaal.

Je roept hem aan in het/een inlogscript:

code:

\\server\share\wmffix_hexblog13.exe /VERYSILENT /SUPPRESSMSGBOXES

Bij het opstarten van de werkplekken (Processing startup scripts oid.) draait hij de patch en reboot onmiddelijk. Nu start de pc weer op en bij de volgende poging verschijnt een errorbox met een tekst in de trant van:

This fix is already installed.

De gebruiker kan alleen op OK klikken en krijgt vervoglens het normale inlogscherm. Dit gedrag vertoont het systeem dus ieder keer als de werkplek opstart, zolang die opdracht in het inlogscript staat.

Verder weinig te melden. Hij staat nu op een stuk of 80 Windows 2000 en 20 Windows XP werkplekken, daarnaast op een stuk of 10 Windows 2000 en 2003 servers. Alles probleemloos verlopen, voorzover ik dat kan beoordelen na een halve dag.

[Jazzy]

Thexder schreef op dinsdag 03 januari 2006 @ 11:09:
Nu wil ik over die fix zelf nog wel even het een en ander weten:

1. Ik heb die patch dan wel geïnstalleerd, maar moet ik 'm dan niet uitvoeren ofzo?

Zoals je zelf al zegt, je hebt de patch geïnstalleerd.

2. En hoe zit dat met dat probleem rondom de Windows Picture and Fax Viewer (WPFV) ? Diezelfde vriend wees mij een paar dagen geleden op deze waarschuwing.

Als je een beetje gelezen hebt, zoals je van een Tweaker wel mag verwachten, dan had je nu wel door gehad dat dit om het zelfde probleem gaat.

[Zwerver]

Jazzy schreef op dinsdag 03 januari 2006 @ 11:14:
[...]
Ik heb maar alvast voor je getest.

Vannacht heb ik eerst thuis getest en gekeken hoe de patch zich gedraagt, qua reboot en scripting. Dat is best heel simpel en net niet ideaal.

Je roept hem aan in het/een inlogscript:

code:

\\server\share\wmffix_hexblog13.exe /VERYSILENT /SUPPRESSMSGBOXES

Bij het opstarten van de werkplekken (Processing startup scripts oid.) draait hij de patch en reboot onmiddelijk. Nu start de pc weer op en bij de volgende poging verschijnt een errorbox met een tekst in de trant van:
[...]
De gebruiker kan alleen op OK klikken en krijgt vervoglens het normale inlogscherm. Dit gedrag vertoont het systeem dus ieder keer als de werkplek opstart, zolang die opdracht in het inlogscript staat.

Verder weinig te melden. Hij staat nu op een stuk of 80 Windows 2000 en 20 Windows XP werkplekken, daarnaast op een stuk of 10 Windows 2000 en 2003 servers. Alles probleemloos verlopen, voorzover ik dat kan beoordelen na een halve dag.

Tipje, wij hebben hem in de logoff scripts gezet met een check eromheen om te checken of die al geinstalleerd is

[Thexder]

Jazzy schreef op dinsdag 03 januari 2006 @ 11:17:
[...]
Zoals je zelf al zegt, je hebt de patch geïnstalleerd.
[...]

Maar wat verschilt dan het installeren van een patch met bijv. software? Wanneer ik software geïnstalleerd heb op mijn computer (in 99% van de gevallen in de "C:\Program Files" map), dan moet ik de software daarna uitvoeren/draaien/runnen om het te kunnen gebruiken. Dus het 'alleen maar' installeren van zo'n patch, heeft imo helemaal geen nut, de patch moet ook nog 'uitgevoerd' worden. Of niet?

Jazzy schreef op dinsdag 03 januari 2006 @ 11:17:
[...]
Als je een beetje gelezen hebt, zoals je van een Tweaker wel mag verwachten, dan had je nu wel door gehad dat dit om het zelfde probleem gaat.

Okee, op zich mee eens, maar het was/is mij niet geheel duidelijk of ik, indien het 'alleen maar' installeren van die patch toch voldoende blijkt te zijn, die WPFV (Windows Picture and Fax Viewer) weer via het register mag inschakelen, die ik eerder had uitgeschakeld op aanwijzingen van deze waarschuwing. Ik lees daarover tegenstrijdige reacties. Dus kan ik de WPFV Viewer nu wel of niet weer inschakelen indien ik toch goed gepatcht blijkt te hebben?

[Tijntje]

Microsoft komt de 10 januari waarschijnlijk met een patch:

Microsoft has completed development of the security update for the vulnerability. The security update is now being localized and tested to ensure quality and application compatibility. Microsoft’s goal is to release the update on Tuesday, January 10, 2006, as part of its monthly release of security bulletins. This release is predicated on successful completion of quality testing.

http://www.microsoft.com/...rity/advisory/912840.mspx

[Jazzy]

Zwerver schreef op dinsdag 03 januari 2006 @ 11:41:
[...]


Tipje, wij hebben hem in de logoff scripts gezet met een check eromheen om te checken of die al geinstalleerd is

Goed idee, dat is veel netter. Ik kwam inmiddels dit voorbeeldje tegen:

code:

@echo off
rem Batch for to illustrate how to use wmf_checker in the silent mode
wmf_checker_hexblog /SILENT
if errorlevel 2 goto bad_error
if errorlevel 1 goto vulnerable
echo You system seems to be invulnerable
goto end

:vulnerable
echo You system is VULNERABLE! Please install the fix from http://www.hexblog.com
goto end

:bad_error
echo Something bad happened to the checker
goto end

:end

Staat te lezen op http://www.hexblog.com/20...otfix_installer.html#more

Thexder schreef op dinsdag 03 januari 2006 @ 11:59:
[...]
Maar wat verschilt dan het installeren van een patch met bijv. software? Wanneer ik software geïnstalleerd heb op mijn computer (in 99% van de gevallen in de "C:\Program Files" map), dan moet ik de software daarna uitvoeren/draaien/runnen om het te kunnen gebruiken. Dus het 'alleen maar' installeren van zo'n patch, heeft imo helemaal geen nut, de patch moet ook nog 'uitgevoerd' worden. Of niet?

Dang, lees nou gewoon de aanwijzingen. http://www.hexblog.com/2005/12/wmf_vuln.html#more Je hoeft (na de reboot) dus niets meer te doen. Moet jij andere patches wel aanroepen vanuit je Startmenu? Nou, waarom zou dat nu dan wel moeten?

Okee, op zich mee eens, maar het was/is mij niet geheel duidelijk of ik, indien het 'alleen maar' installeren van die patch toch voldoende blijkt te zijn, die WPFV (Windows Picture and Fax Viewer) weer via het register mag inschakelen, die ik eerder had uitgeschakeld op aanwijzingen van deze waarschuwing. Ik lees daarover tegenstrijdige reacties. Dus kan ik de WPFV Viewer nu wel of niet weer inschakelen indien ik toch goed gepatcht blijkt te hebben?

Je hebt zojuist gelezen dat de patch zorgt dat je niet meer kwetsbaar bent. Dan kun je de WPFV viewer dus weer gebruiken.