Nieuw lek in XPSP2 via WMF files

[Bhai]

StarLite schreef op woensdag 04 januari 2006 @ 20:19:
[...]


[...]

Er is toch wel een klein verschil tussen bijv. IE en FF. Met de standaardinstellingen van IE (medium denk ik) worden de besmette files zonder waarschuwing gedownload (toch?), terwijl bij FF met de standaardinstellingen eerst gevraagd wordt of je dit bestand wilt openen. Als dit zo is, dan vind ik het toch een behoorlijk verschil

[Zwerver]

Als jullie exact willen weten wat er aan de hand is heb ik hier een mooie PDF:

http://www.section66.com/handlers/WMF.pdf

lees ook even het laatste stukje van http://isc.sans.org/diary.php?storyid=1012:

In addition to this, please do make the difference between a vulnerability and the lack of an exploit.

* One working exploit proves a vulnerability.
* Many non-functional exploits prove nothing towards the lack of a vulnerability.

And the shit hit's the fan:

We have a little project for all of the forensic treasure hunters out there. As you all know, the .wmf issue came into public view about a week ago. Since then, we've found that there are infected .wmf files with dates going back several weeks, so this little beauty has been around for a while. What we are looking for are any confirmed intrusions earlier than the first of December 2005 that can be traced to this current vulnerability. By confirmed, we mean that not only is the date of an infected .wmf file on a compromised system earlier than December 1st, but you can also prove that it was installed prior to December 1st and had some type of malicious payload embedded in it. Tell us whatever you can share, and we'll summarize the details for others. There's no prize for the earliest detect, but we are pretty sure that many would be interested in knowing how long this vulnerability has been actively exploited.

[ Voor 52% gewijzigd door Zwerver op 04-01-2006 23:56 ]

[EricJH]

StarLite schreef op woensdag 04 januari 2006 @ 20:19:
[...]
Niet alleen IE is vatbaar, ook andere browsers/programma's die WMF files kunnen of willen openen (Bijv. met Firefox, als je kiest voor openen/uitvoeren van zo'n fout bestand of Google Desktop die netjes dat file gaat indexeren). Op dit moment is er nog geen patch beschikbaar.
[...]

Thx. Deze was ik een beetje vergeten. Net ff gecheckt en Opera staat standaard ingesteld om het downloadvenster te tonen. Dan kan ik kiezen het niet te downen, opslaan of openen. Nu nog enkel even niet dom klikken dus....

[Verwijderd]

Ook de bloggers van Sunbelt BLOG hebben de officiële MS patch te pakken gekregen, en ook zij vinden deze patch zeer doeltreffend.
Er staan geen links naar de patch bij, maar wel screenshots (die dus mijn eerdere post over het KB-nummer bevestigen).
Lees meer op http://sunbeltblog.blogsp...-at-microsoft-hotfix.html
Ook hier staat er meer info over de leak van de MS patch.

[ Voor 16% gewijzigd door Verwijderd op 05-01-2006 02:23 ]

[Zwerver]

Verwijderd schreef op donderdag 05 januari 2006 @ 02:19:
Ook de bloggers van Sunbelt BLOG hebben de officiële MS patch te pakken gekregen, en ook zij vinden deze patch zeer doeltreffend.
Er staan geen links naar de patch bij, maar wel screenshots (die dus mijn eerdere post over het KB-nummer bevestigen).
Lees meer op http://sunbeltblog.blogsp...-at-microsoft-hotfix.html
Ook hier staat er meer info over de leak van de MS patch.

Oke, en nu laat ik alles gelijk, en hang er een stukje eigen spyware naast, het enige wat dan anders wordt is de checksum; die wij officieel niet in handen hebben omdat MS die niet vrijgeeft....

[blackd]

Zwerver schreef op donderdag 05 januari 2006 @ 07:36:
Oke, en nu laat ik alles gelijk, en hang er een stukje eigen spyware naast, het enige wat dan anders wordt is de checksum; die wij officieel niet in handen hebben omdat MS die niet vrijgeeft....

In dit topic werd vermeld dat de gelekte patch al gesigned zou zijn. Als dat zo is, dan zou je het wel degelijk kunnen checken (al doet niemand dat). Daar hoeft MS dus niets meer voor vrij te geven dan.

[Brahiewahiewa]

De officiële microsoft patch is nu beschikbaar op http://www.microsoft.com/...ty/bulletin/ms06-001.mspx

[iH8]

Bhai schreef op woensdag 04 januari 2006 @ 19:27:
Ik kan in Windows Explorer geen thumbnails meer bekijken (van bijv. jpg's). Ook bepaalde plaatjes in Firefox (en IE) kan ik niet zien:

[afbeelding]

De thumbnails zie ik wél in ACDSee

Ik heb het gevoeld dat dit iets met die wmffix te maken heeft (draai gwn XPSP2).

Ben ik de enige met dit probleem

een klant belde me vandaag met exact hetzelfde probleem morgen is hij hier. zal dan wel eens even zien.

[Bart1983]

Brahiewahiewa schreef op donderdag 05 januari 2006 @ 21:55:
De officiële microsoft patch is nu beschikbaar op http://www.microsoft.com/...ty/bulletin/ms06-001.mspx

Hij is ook beschikbaar via windows update !!

[paella]

Systeem blijft stabiel

[Big-R]

Toch wel kritiek, en VOOR dinsdag

Hulde

[AW_Bos]

Ik zal hem morgen eens installeren. Maar dan blijft die Picture-viewer wel juist werken dan met die patch ?

[ Voor 3% gewijzigd door AW_Bos op 05-01-2006 23:17 ]

[thesystem]

als ik de onofficieele patch pas heb verwijderd nadat ik de officieele microsoft patch heb geinstalleerd, is dan nog steeds alles in orde? of zijn er dan soms weer bestanden unpatched ofzo.

[BoGhi]

Ik heb de patch van Ilfak Guilfanov ge-uninstalled, en de microsoft update daarna zijn gang laten gaan. De check-utility van hexblog geeft aan dat ik daarna nog steeds beschermd ben, dus dat lijkt ok.

[Verwijderd]

Bart1983 schreef op donderdag 05 januari 2006 @ 22:30:
[...]


Hij is ook beschikbaar via windows update !!

De patch lijkt in alle opzichten (KB nummer, signature, grootte) onveranderd van de eerder uitgelekte

[ Voor 3% gewijzigd door Verwijderd op 06-01-2006 00:52 ]

[paella]

thesystem schreef op donderdag 05 januari 2006 @ 23:27:
als ik de onofficieele patch pas heb verwijderd nadat ik de officieele microsoft patch heb geinstalleerd, is dan nog steeds alles in orde? of zijn er dan soms weer bestanden unpatched ofzo.

Ik begreep dat de onofficiele patch niet een bestand vervangt, en die officiele wel. Dus de 1e is een workaround ofzo en dus werkt de officiele prima naast de oude.

[Jester-NL]

Microsoft zet 'gewoon' een nieuwe dll neer. De oficiële patch kan dus gewoon over een eerder (onofficieel) gepatched systeem.

[pasta]

Ik zet het even in de TopicWarning.

[michelc85]

Is die reboot echt noodzakelijk voor het dichten van het lek.

Maakt niet uit natuurlijk maar kan nu de server niet herstarten(live omgeving)

[Verwijderd]

zolang je niet reboot ben je vulnerable voor de fout. Dus even een reboot schedulen vanavond

[Flake]

Kan iemand mij vertellen hoe ik die DLL weer re-install, zodat mijn picture viewer en thumbnails weer werken? Het is net of die dll van mijn systeem is verdwenen

[wildhagen]

Start -> Run -> regsvr32 %windir%\\system32\\shimgvw.dll <OK>

Reboot niet nodig

[Bhai]

wildhagen schreef op vrijdag 06 januari 2006 @ 16:26:
Start -> Run -> regsvr32 %windir%\\system32\\shimgvw.dll <OK>

Reboot niet nodig

De thumbnails die ik niet kon zien, kwam dus doordat ik regsvr32 -u %windir%\\system32\\shimgvw.dll had gedaan. Nu werkt het weer, tnx

[Bhai]

Wat ik me nu afvraag: wat gaat er gebeuren met degene die al besmet zijn geraakt en die dat nog niet weten. Het lijkt me dat dit een best wel grote groep gebruikers is

[wildhagen]

Bhai schreef op vrijdag 06 januari 2006 @ 20:12:
[...]
De thumbnails die ik niet kon zien, kwam dus doordat ik regsvr32 -u %windir%\\system32\\shimgvw.dll had gedaan. Nu werkt het weer, tnx

Ja, met -u unregister je de DLL, zonder die parameter (dus zoals ik hem gaf) registreer je hem weer

Bhai schreef op vrijdag 06 januari 2006 @ 20:18:
Wat ik me nu afvraag: wat gaat er gebeuren met degene die al besmet zijn geraakt en die dat nog niet weten. Het lijkt me dat dit een best wel grote groep gebruikers is

Tsja... die zullen dus (helaas) besmet blijven. Waarschijnlijk zullen ze wel als zombies voor verdere hacks, DoS-attacks en/of versturen van spam gebruikt gaan worden...

[AW_Bos]

AW_Bos schreef op donderdag 05 januari 2006 @ 23:17:
Ik zal hem morgen eens installeren. Maar dan blijft die Picture-viewer wel juist werken dan met die patch ?

Nee hoor, die werken nog zie ik zojuist...

[Verwijderd]

Ik zat zojuist op een website en plotseling opende de picture viewer. Er kwam echter geen plaatje te staan, maar er stond no preview available. (Het plaatje heette pic[1] ) Kan het zijn dat ik nu geinfecteerd ben met dit virus? En is er ergens een programmatje waarmee ik kan zien of ik dat virus heb?

[Verwijderd]

Verwijderd schreef op Saturday 07 January 2006 @ 21:50:
Ik zat zojuist op een website en plotseling opende de picture viewer. Er kwam echter geen plaatje te staan, maar er stond no preview available. (Het plaatje heette pic[1] ) Kan het zijn dat ik nu geinfecteerd ben met dit virus? En is er ergens een programmatje waarmee ik kan zien of ik dat virus heb?

Integendeel, "No preview available" is juist een teken dat de patch zijn werk goed doet

[plakbandrol]

Verwijderd schreef op zaterdag 07 januari 2006 @ 22:04:
[...]

Integendeel, "No preview available" is juist een teken dat de patch zijn werk goed doet

Als je wel geinfecteerd wordt krijg je ook die melding

[Verwijderd]

plakbandrol schreef op Saturday 07 January 2006 @ 22:30:
[...]

Als je wel geinfecteerd wordt krijg je ook die melding

Toch niet, hij blijft dan gewoon hangen op "Generating preview".

[plakbandrol]

Verwijderd schreef op zaterdag 07 januari 2006 @ 22:40:
[...]

Toch niet, hij blijft dan gewoon hangen op "Generating preview".

das vreemd, ik heb mezelf even laten infecteren en toen kreeg ik toch echt die melding

[Verwijderd]

plakbandrol schreef op zaterdag 07 januari 2006 @ 23:39:
[...]

das vreemd, ik heb mezelf even laten infecteren en toen kreeg ik toch echt die melding

Da's inderdaad vreemd

[Verwijderd]

mmz, wie moet ik nu geloven? Ik kan nu maar beter niet meer internetbankieren op deze pc neem ik aan?

[Verwijderd]

"No preview available" houdt in dat de exploit zijn werk niet heeft kunnen doen.
Of dat komt doordat de patch is geïnstalleerd of de exploit niet fatsoenlijk werkt, dat is een andere vraag.

/me ziet redelijk wat exploits voorbijkomen die bijv. niets doen op XP/SP2 maar wel op XP/SP1.

[ Voor 6% gewijzigd door Verwijderd op 08-01-2006 21:19 ]

[Verwijderd]

Verwijderd schreef op zondag 08 januari 2006 @ 21:06:
"No preview available" houdt in dat de exploit zijn werk niet heeft kunnen doen.
Of dat komt doordat de patch is geïnstalleerd of de exploit niet fatsoenlijk werkt, dat is een andere vraag.

Nochtans krijg ik enkel de melding "No preview available" nadat ik de patch installeerde. Zal wel aan mijn computer liggen dan? XP SP2 btw.

[ Voor 5% gewijzigd door Verwijderd op 08-01-2006 21:28 ]

[Verwijderd]

Verwijderd schreef op zondag 08 januari 2006 @ 21:26:
[...]

Nochtans krijg ik enkel de melding "No preview available" nadat ik de patch installeerde. Zal wel aan mijn computer liggen dan? XP SP2 btw.

Dat klopt toch met wat ik zeg? Ben anders eens wat specifieker.

[Verwijderd]

Dat moet je dan aan qpers vragen (SP1 of SP2?), hij is namelijk degene die niet zeker weet of hij kwetsbaar is.

[Verwijderd]

Heb service pack 2 erop staan geloof ik.

[gerhald]

Ik heb nog een vraag over het lek microsoft zecht dat win NT4 en windows 2000 sp3 er ook gevoelig voor zijn maar hier is de patch niet voor bedoeld als ik zo lees
wat zijn de mogelijk heden voor win NT4 en windows2000 sp3 zonder te upgraden ?

[Vunzz]

gerhald schreef op maandag 09 januari 2006 @ 07:35:Wat zijn de mogelijk heden voor win NT4 en windows2000 sp3 zonder te upgraden ?

Niet veel denk ik. Voor Windows 2000 is al een aantal jaar Service Pach 4 uit en Windows NT is al een tijdje niet meer supported.

[paella]

http://www.nod32.ch/en/download/tools.php

Deze patch werkt ook op 9x en NT. Heb zelf niet mee getest, dus geen garantie van mijn kant!

[Verwijderd]

Ik heb het volgende probleem.

We hebben de patch gedraaid hier op het netwerk (windows 2003 netwerk met allemaal xp stations) alleen nu doet de standaardviewer het niet meer.

We hebben in het loginscript gezet dat ie die SHIMGVW.DLL weer opnieuw regged, alleen dat werkt maar bij sommigen.. Iemand een idee?

[wildhagen]

Word dat loginscript wel bij iedereen uitgevoerd?

Gaat handmatig registreren op een PC waar het niet werkt ook niet?

[Verwijderd]

Loginscript wordt bij iedereen uitgevoerd en als we het handmatig doen gaat het goed

[Verwijderd]

Al gevonden. We hebben Landesk draaien en die controleert of de patches wel geinstalleerd zijn. Blijkbaar wordt de patch geinstalleerd nadat we het scriptje gerund hebben zodat het niet meer mogelijk is dat jpg's geopend kunnen worden met de standaardviewer.

Nu heb ik de patches uit de controlelijst gehaald en nu kan iedereen de jpgs weer openen...