Sicurezza, anche le immagini possono veicolare virus: guarda un’immagine sul Web e t’infetti

Questo articolo vi arriva grazie alle gentili donazioni di "riccardo.camp***", "Noris.Trave***" e "arkadyn". L'articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento ore 16:30.

F-Secure ha annunciato ieri (28 dicembre 2005) una falla estremamente grave in Windows, che consente di infettare un computer Windows semplicemente visitando un sito Web appositamente confezionato e contenente un'immagine, oppure ricevendo un e-mail e visualizzando l'immagine che vi è contenuta.

Al momento in cui scrivo, Microsoft non ha ancora distribuito un aggiornamento (patch) che corregga la falla, che colpisce Windows XP anche se dotato di tutti gli aggiornamenti di sicurezza finora rilasciati. L'avviso ufficiale di Microsoft è disponibile presso Microsoft Technet (in inglese).

Numerosi siti (alcuni sono indicati nella pagina di F-Secure), specialmente quelli porno e dedicati ai programmi pirata, stanno già usando questa tecnica di attacco per infettare i computer Windows con ogni sorta di spyware e altro software ostile, compresi programmi per controllare da remoto i computer delle vittime e programmi che fingono di essere antispyware e chiedono soldi (tramite carta di credito) per eliminare l'infezione trovata nel computer.

Il sito di sicurezza Websense ha delle schermate e un filmato che mostrano il comportamento di un Windows infettato tramite questa falla, basata sull'uso di immagini nel formato WMF (Windows Metafile, da non confondere con i video in formato WMV).

La falla è particolarmente grave e interessante perché colpisce anche gli utenti Windows che usano browser alternativi come Firefox o Opera. L'unica differenza, piuttosto importante, è che mentre chi usa Internet Explorer viene infettato direttamente appena visita il sito-trappola, chi usa i browser alternativi viene avvisato da un messaggio di allerta e s'infetta solo se risponde affermativamente al messaggio. Anche la semplice visualizzazione di una cartella contenente un'immagine infetta tramite Esplora Risorse o il Fax Viewer di Windows è sufficiente a infettare.

Sono a rischio gli utenti di Windows XP, ME, 2000 e Server 2003. A quanto mi risulta finora, gli utenti di altri sistemi operativi non sono colpiti da questa falla.

Aggiornamento (16:30): secondo il bollettino Microsoft, sono a rischio anche gli utenti di XP Pro x64, Server 2003 x64, Windows 98 e 98 SE.


Il problema nasce dalla natura particolare del formato grafico WMF, che fu introdotto da Microsoft in Windows 3.0: invece di rappresentare i singoli punti di un'immagine, contiene una serie di istruzioni di disegno che spetta al sistema operativo interpretare (è un esempio di formato di grafica vettoriale, insomma). Purtroppo le istruzioni possono essere confezionate in modo maligno e Windows non è capace di bloccare queste istruzioni ostili.

Un altro aspetto di particolare interesse della falla è che chi ha Google Desktop è ancora più vulnerabile. Per infettarsi, in questo caso, è sufficiente scaricare l'immagine WMF infetta. Google Desktop, infatti, indicizza e legge subito il file scaricato e ne passa il contenuto infettante a Windows, che lo esegue automaticamente. Secondo F-Secure, su un PC Windows dotato di Google Desktop l'infezione ha luogo persino se si scarica il file usando una finestra DOS (tramite per esempio Wget) e anche se il file infetto non ha l'estensione WMF nel nome ma è comunque scritto nel formato WMF.

Per il momento, in attesa che Microsoft rilasci un aggiornamento che corregga la falla, è opportuno bloccare l'interpretazione delle immagini WMF.

Sunbelt, per esempio, consiglia di disabilitare il componente fallato di Windows (SHIMGVW.DLL): al prompt dei comandi (Start > Esegui), digitate:
REGSVR32 /U SHIMGVW.DLL

Dopo di che riavviate Windows.

La disabilitazione è permanente fino a quando date il comando di riabilitazione, che è:
REGSVR32 SHIMGVW.DLL

Sunbelt avvisa che questo rimedio interferisce con la visualizzazione di tutti i tipi di immagine nel visualizzatore fax e immagini di Windows, quando viene invocato da Internet Explorer: in altre parole, può risultare piuttosto scomodo (ma sempre meno scomodo che trovarsi infetti).

Sans suggerisce inoltre di applicare la funzione DEP del Service Pack 2 a tutti i programmi. Se non avete idea di cosa sia DEP, chiedete a un esperto di farlo per voi.

Mi raccomando, prudenza!