Gerçekten bir görüntü dosyasında bir truva atı alabilir ve eğer öyleyse nasıl yürütülür?

Birkaç LP'yi dijitalleştirdim ve kapak sanatına ihtiyacım vardı. Tarayıcım albümü tarayacak kadar büyük değil, bu yüzden resimleri aradım ve internetten indirdim.

Bunu yaptığımda Avast bunlardan birinin "Win32: Hupigon-ONX" trojanını içerdiğini ve derhal karantinaya aldığını bildirdi. Herhangi bir şans almak istemiyorum temiz olarak bildirilen farklı bir kopyasını indirdim.

Şimdi bu Avast'tan yanlış bir pozitif miydi yoksa jpg'de gerçekten bir truva atı olabilir miydi?

Eğer olsaydı nasıl idam edilirdi?

Truva atlarının ve virüslerin bu yönünün beni her zaman şaşırttığını itiraf etmeliyim. Bir yazılım geliştiricisi olarak her zaman dizilerin uzunluğunu vb. Kontrol ettim, bu yüzden arabellek taşması gibi şeylerin neden oluşması gerektiğini anlamıyorum. İnsanların köşeleri kesip hata yaptığını ve yazılım yeterince karmaşıksa bu hataların geçebileceğini anlıyorum.

Görüntü dosyalarındaki istismarlar, işletim sisteminin görüntü işleme kodundaki arabellek taşması kusurlarından yararlanır. Birkaç yıl önce Windows GDI katmanında böyle önemli kusurlar vardı - yamalar uzun zaman önce serbest bırakıldı, ancak istismar görüntüleri ya sadece kaldıkları için ya da henüz yamalanmamış bir makineye çarpma umuduyla hala orada .

Bu tür bir güvenlik açığının olağan nedeni, görüntü verilerini çağrı yığınındaki işlevler arasında geçirmektir ve verilerin maksimum uzunluğunu düzgün bir şekilde kontrol etmemektedir. Bu, aşırı boyutlandırılmış akıllı bir şekilde yapılandırılmış verilerden ve yığın çerçevesinin yanındaki kodun üzerine yazılması (diğer kodla üzerine yazılması) veya diğer işlevleri çağırmak için kullanılacak kodun üzerine yazacak şekilde düzenlenmesi ile kullanılabilir. ya da çağrılan fonksiyon geri döndüğünde (istismar kodunu göstermesi için böyle bir işaretçinin üzerine yazılması) veya başka bir deliğin açığa çıkmasına neden olacak şekilde verilerin üzerine yazılmasıdır. Kesin yöntem, söz konusu güvenlik deliğine bağlı olarak değişir.

Modern CPU'lar, kod destekliyorsa, bu açıkların çoğunu durduran bir korumaya sahiptir. Bu program / kütüphane tarafından çalışır ve hangi sayfalarının veri ve hangilerinin kod olduğunu açıkça işaretler - veri olması gereken herhangi bir şey (görüntü verileri gibi) kod olarak yürütülmeye çalışırsa CPU bir istisna oluşturur. IIRC Vista ve .Net'in son sürümleri ve .Net'in tüm sürümleri, bu korumayı desteklemek için tüm kitaplıklarını yeniden oturtmuşlardır ve diğer işletim sistemleri tarafından da desteklenmektedir, ancak bu tüm istismarları durdurmaz ve yalnızca açıkça açıldığında çalışır (aksi takdirde eski kod çok kırılır).

Truva atlarının ve virüslerin bu yönünün beni her zaman şaşırttığını itiraf etmeliyim. Bir yazılım geliştiricisi olarak her zaman dizilerin uzunluğunu vb. Kontrol ettim, bu yüzden arabellek taşması gibi şeylerin neden oluşması gerektiğini anlamıyorum.

Peki, gerçek dünyaya hoş geldiniz ;-). Arabellek taşmaları & c. (özellikle C gibi manuel bellek yönetimi olanlarda) birçok dilde olabilir ve geliştiriciler hata yaparlar, onlar do olur.

Normalde bir arabellek taşması programın çökmesine neden olurken (segmentasyon ihlali veya benzeri), saldırganın kod yürütmesine izin verebilir -> trojan etkin.

Örneğin:

http://www.microsoft.com/technet/security/bulletin/MS04-028.mspx

http://secunia.com/advisories/35216/

Ve bunun kod yürütülmesine nasıl izin verdiğine dair bir açıklama için:

/programming/460519/how-are-buffer-overflows-used-to-exploit-computers

2006'da rasgele kod çalıştırabilen kırık JPEG kütüphanesinde arabellek taşması sonucu bir istismar vardı. Microsoft, bunları gördüğümden daha hızlı düzeltmek için bir yama yayınladı. Makineniz neredeyse kesinlikle savunmasız değil ve Hupigon şimdi çok fazla yanlış pozitif üretiyor.

http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=Win32/Hupigon

Truva atlarının ve virüslerin bu yönünün beni her zaman şaşırttığını itiraf etmeliyim. Bir yazılım geliştiricisi olarak her zaman dizilerin uzunluğunu vb. Kontrol ettim, bu yüzden arabellek taşması gibi şeylerin neden oluşması gerektiğini anlamıyorum. İnsanların köşeleri kesip hata yaptığını ve yazılım yeterince karmaşıksa bu hataların geçebileceğini anlıyorum.

Belki tüm işaretçileri, dizileri vb. Kontrol ediyorsunuz. Ama emin olabilirsiniz, (bir gün) kullanabileceğiniz herhangi bir 3.-patry kütüphanesinin tüm programcıları da bunu yaptı mı?

Bunun için en basit çözüm, "image.jpg.exe" gibi bir dosyayı veya gerçek bir görüntü yerine benzer bir şeyi indirmektir.

PC'nize bulaşmanın daha gelişmiş yolları burada zaten açıklanmıştır (örn. Arabellek Taşması, ...)