|
Por Redacción VSAntivirus
[email protected]
DiamondCS JPEGScan es una herramienta gratuita, pequeña y fácil de utilizar para
examinar y reparar todos los archivos JPEG que pudieran estar infectados por un
exploit MS04-028.
La herramienta puede detectar todas las variantes conocidas del exploit,
utilizando técnicas diferentes a la simple búsqueda de cadenas específicas. Lo
que hace es examinar detenidamente todos los bloques de cada archivo JPEG,
buscando diferencias en los límites de las secciones de comentarios, que indican
la presencia de un posible exploit.
La reparación reajusta los tamaños de esos límites a su verdadero tamaño, y si
el archivo está basado en una imagen real, ésta podrá ser visualizada
correctamente. También es posible borrar las imágenes infectadas que no puedan
ser reparadas (y que tampoco son imágenes reales, sino un código malicioso).
JPEGScan también permite la integración de la herramienta en el menú contextual
del Explorer, permitiendo que con un simple clic en el botón derecho en
cualquier archivo, directorio o unidad de disco, se comience a escanear
inmediatamente en busca de archivos JPEG infectados.
Además de su utilidad para usuarios domésticos, este instrumento resultará de
especial interés para todos los administradores de redes, quienes podrán
examinar toda su red en busca de imágenes infectadas.
Las principales rutinas de JPEGScan están escritas en assembler, de modo que no
solo es muy pequeño (apenas 28 Kb), sino extraordinariamente veloz en su tarea.
JPEGScan, puede ser descargado gratuitamente del siguiente enlace:
http://www.diamondcs.com.au/jpegscan/
¿Qué es el exploit MS04-028 (JPEG exploit)?.
El 14 de setiembre de 2004, Nick DeBaggis descubrió una
vulnerabilidad del tipo desbordamiento de búfer en el componente GDIPLUS.DLL,
una librería utilizada por muchas y conocidas aplicaciones, incluyendo la
mayoría de las aplicaciones de Microsoft, para visualizar imágenes JPEG.
Un análisis realizado por el equipo de eEye, confirmó que esta vulnerabilidad
puede ser explotada para ejecutar código en forma arbitraria, permitiendo que un
atacante llegue a tomar el control de un sistema remoto, simplemente engatusando
a su víctima para que ésta visualice una imagen JPG especialmente modificada.
El boletín MS04-028 de Microsoft, publica los parches y otra información
necesaria para la protección de aquellos usuarios afectados. Por ello, todo
exploit que se aprovecha de esta vulnerabilidad, es conocido como "Exploit
MS04-028".
La infección se puede producir por el simple acto de visualizar un archivo JPG,
si el programa usado para esta acción, utiliza la versión vulnerable de la
librería GDIPLUS.DLL. Esto afecta a una gran cantidad de aplicaciones.
Referencias:
DiamondCS
www.diamondcs.com.au |
