Czy naprawdę można uzyskać trojana w pliku obrazu, a jeśli tak, to w jaki sposób zostanie on wykonany?

Właśnie zdigitalizowałem kilka płyt i potrzebowałem trochę okładki. Mój skaner nie jest wystarczająco duży, aby zeskanować album, więc szukałem i pobierałem obrazy z sieci.

Gdy to zrobiłem, Avast poinformował, że jeden z nich zawiera trojana „Win32: Hupigon-ONX” i natychmiast poddaje go kwarantannie. Nie chcąc ryzykować, pobrałem inną kopię, która została zgłoszona jako czysta.

Czy to był tylko fałszywy pozytyw od Avast, czy może naprawdę był trojan w jpg?

Gdyby było, jak by to zostało wykonane?

Muszę przyznać, że ten aspekt trojanów i wirusów zawsze mnie zaskakiwał. Jako programista zawsze sprawdzałem długość macierzy itp., Więc nie rozumiem, dlaczego takie zdarzenia, jak przepełnienie bufora, powinny się zdarzyć. Rozumiem, że ludzie skracają rogi i popełniają błędy, a jeśli oprogramowanie jest wystarczająco złożone, błędy te mogą się wymknąć.

Exploity w plikach obrazów wykorzystują luki w przepełnieniu buforu w kodzie przetwarzania obrazu systemu operacyjnego. Kilka lat temu pojawiło się kilka istotnych takich wad w warstwie GDI systemu Windows - łatki zostały wydane dawno temu, ale obrazy exploitów wciąż istnieją, ponieważ zostały lub w nadziei, że trafią na maszynę, która nie została jeszcze załatana .

Typową przyczyną takiej dziury w zabezpieczeniach jest przekazywanie danych obrazu między funkcjami na stosie wywołań i nieprawidłowe sprawdzanie maksymalnej długości danych. Może to zostać wykorzystane przez sprytnie skonstruowane dane, które są zbyt duże i ustawione w taki sposób, że kończą się następnie nadpisywaniem kodu w ramce stosu (nadpisywanie go innym kodem) lub nadpisywaniem wskaźników do kodu, który będzie używany do wywoływania innych funkcji lub gdy funkcja wywoływana powraca do funkcji wywołującej (nadpisanie takiego wskaźnika, aby wskazywał na kod exploita), lub nadpisanie danych w taki sposób, że powoduje ujawnienie innej dziury. Dokładna metoda różni się w zależności od omawianej luki bezpieczeństwa.

Nowoczesne procesory mają ochronę, która zatrzymuje większość tych exploitów, jeśli kod je obsługuje. Działa to przez program / bibliotekę, która wyraźnie zaznacza, które strony są danymi, a które kodem - CPU zgłosi wówczas wyjątek, jeśli cokolwiek w danych, które powinny być danymi (np. Dane obrazu), spróbuje zostać wykonane jako kod. W IIRC Vista i nowszych oraz najnowszych wersjach .Net zmieniono ustawienia wszystkich bibliotek w celu obsługi tej ochrony, a także jest obsługiwana przez inne systemy operacyjne, ale nie powstrzymuje to wszystkich takich exploitów i działa tylko wtedy, gdy jest wyraźnie włączone (w przeciwnym razie wiele starych kodów zepsuje się).

Muszę przyznać, że ten aspekt trojanów i wirusów zawsze mnie zaskakiwał. Jako programista zawsze sprawdzałem długość macierzy itp., Więc nie rozumiem, dlaczego takie zdarzenia, jak przepełnienie bufora, powinny się zdarzyć.

Witamy w prawdziwym świecie ;-). Przepełnienia bufora & c. może się zdarzyć w wielu językach (zwłaszcza u osób z ręcznego zarządzania pamięcią jak C), jak i programiści popełniają błędy, to nie stało.

Podczas gdy zwykle przepełnienie bufora po prostu powoduje awarię programu (naruszenie segmentacji lub podobne), może pozwolić atakującemu na wykonanie kodu -> aktywowany trojan.

Na przykład:

http://www.microsoft.com/technet/security/bulletin/MS04-028.mspx

http://secunia.com/advisories/35216/

Aby uzyskać wyjaśnienie, w jaki sposób umożliwia to wykonanie kodu:

/programming/460519/how-are-buffer-overflows-used-to-exploit-computers

Wystąpił exploit, który spowodował przepełnienie bufora uszkodzonej biblioteki JPEG, która mogła uruchomić dowolny kod w 2006 roku. Microsoft wydał łatkę, aby naprawić to szybciej niż kiedykolwiek widziałem. Twoja maszyna prawie na pewno nie jest podatna na ataki, a Hupigon właśnie generuje teraz zbyt wiele fałszywych alarmów.

http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=Win32/Hupigon

Muszę przyznać, że ten aspekt trojanów i wirusów zawsze mnie zaskakiwał. Jako programista zawsze sprawdzałem długość macierzy itp., Więc nie rozumiem, dlaczego takie zdarzenia, jak przepełnienie bufora, powinny się zdarzyć. Rozumiem, że ludzie skracają rogi i popełniają błędy, a jeśli oprogramowanie jest wystarczająco złożone, błędy te mogą się wymknąć.

Może sprawdzasz wszystkie wskaźniki, tablice itp. Ale czy jesteś pewien, że wszyscy programiści z dowolnej biblioteki trzeciego patryka, której (prawdopodobnie) używałeś (kiedyś) też to zrobili?

Najprostszym rozwiązaniem byłoby pobranie pliku takiego jak „image.jpg.exe” lub coś podobnego zamiast prawdziwego obrazu.

Bardziej zaawansowane sposoby infekowania komputera zostały już tutaj opisane (np. Przepełnienie bufora, ...)