Archivio » 2004 » settembre » lunedì 27 »

Sicurezza, il kit fai-da-te per creare immagini Jpeg dannose

Scritto da Guido Sintoni

A due settimane dal rilascio delle patch di settembre, su Internet è possibile trovare con relativa facilità un toolkit per sfruttare la vulnerabilità delle librerie grafiche Gdi+ di Windows. Urge più che mai installare la patch

Il bollettino MS04-028, emesso quindici giorni fa da Microsoft nella consueta tornata di patch mensili, descrive una vulnerabilità delle librerie grafiche Gdi+ (ampiamente utilizzate da varie versioni di Windows e da applicazioni Microsoft) che, se sfruttata, può portare alla presa di possesso del sistema.

Sicurezza e antivirus

» Aiuto! proteggete il mio computer

L’installazione della patch è necessaria, anche perché è ormai semplice trovare - su canali non proprio convenzionali - un toolkit creato per creare immagini Jpeg contenenti un exploit, ovvero un pezzo di codice creato proprio per provocare una vulnerabilità. Il toolkit, chiamato Jpeg Downloader, ha un duplice scopo: permettere a chi non ha competenze di recare danni a sistemi altrui e a chi scrive malware di integrarlo o trarne spunto per qualche futuro worm o virus.

Ma non va dimenticato che, spesso, un toolkit è una proof of concept: non nasce per nuocere, ma per evidenziare un aspetto (nel caso specifico, la vulnerabilità). Non è dannoso in sé, ma è dannoso l’uso improprio che ne può essere fatto. Il fatto che vi sia un toolkit non significa, tuttavia, che un malware che lo sfrutti sia inevitabile: per i vendor di antivirus, è normale sottolineare - magari con un po’ troppa enfasi - questa eventualità.

Ma è d’obbligo ricordare che, alla comparsa dell’infausta patch MS04-011 (che correggeva ben quattordici vulnerabilità) nello scorso aprile, più di un analista associava la circolazione di un exploit chiamato Ssl Bomb alla creazione di malware che sfruttassero la vulnerabilità nelle librerie Ssl messe fuori uso da Ssl Bomb. Invece un ragazzo tedesco di nome Sven Jaschan ha deciso di sfruttare quella del componente Lsass e di scrivere Sasser. Che - dati alla mano - si è diffuso a sufficienza senza essere preceduto da un toolkit ad hoc.