Trojaner-Board - *.wmf exploit

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - *.wmf exploit (https://www.trojaner-board.de/25087-wmf-exploit.html)

Derweil existiert ein 0-day-exploit für Windows.
Auch vollgepatchte xp SP2 Rechner sind betroffen.

Aus der Fülle der Informationen verlinke ich diesen recht verständlichen Artikel von heise. link

Anwender, vor allem die ohne AV-Programm, sollten eine automatische Aufforderung ihres Browsers zum speichern oder ausführen einer *.wmf,*.jpg,*.bmp etc. nicht nachkommen sondern den Vorgang abbrechen.

Einen Patch von Microsoft gibt es noch nicht.

Guten Rutsch. ;)

Domino

Hier wird der 'Würgaround' etwas genauer beschrieben:

Zitat:

Die Programmbibliothek "shimgvw.dll" gehört zur "Windows Bild- und Faxanzeige" und ermöglicht das Einschleusen von Code über speziell präparierte WMF-Dateien. Die DLL wird auch unter anderem vom Internet Explorer und älteren Firefox-Versionen (1.0.x) sowie von Opera 8.51 zur Anzeige von WMF-Dateien aufgerufen, Firefox und Opera fragen allerdings vorher nach.
Um die derzeit recht verbreiteten Exploits zu blockieren, können Sie die shimgvw.dll wie folgt deregistrieren:
1. Öffnen Sie eine Eingabeauffoderungen oder START -> Ausführen...
2. Geben Sie folgenden Befehl ein:
regsvr32 -u %windir%\system32\shimgvw.dll
3. Schließen Sie die Eingabe mit einem Klick auf [OK] oder mit der Eingabetaste ab.
4. Bestätigen Sie die darauf folgende Erfolgsmeldung mit [OK].
In der genannten Befehlszeile wird die Umgebungsvariable "%windir%" verwendet. Sie enthält das Windows-Verzeichnis (zum Beispiel C:\Windows), das auf diese Weise vom System automatisch in den Befehlsaufruf eingefügt wird. Der Nachteil der von Microsoft vorgeschlagenen Lösung ist, dass Sie nun die "Windows Bild- und Faxanzeige" nicht mehr zum Anzeigen von Bilddateien verwenden können. Bis zur Bereitstellung einer besseren Lösung ist dies jedoch eine wichtige Schutzmaßnahme.
Sie können die Funktionalität wieder herstellen, in dem Sie genau wie oben vorgehen, jedoch lautet die Befehlzeile dann:
regsvr32 %windir%\system32\shimgvw.dll

Quelle: http://www.pcwelt.de/news/sicherheit/128485/

Mit diesem Registryhack:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\SystemFileAssociations\image
\ShellEx\ContextMenuHandlers
\ShellImagePreview

Then delete the default value. To re-enable the feature, go to the same key and set the default value as a REG_SZ to "{e84fda7c-1d6a-45f6-b725-cb260c236066}".

soll das auch funktionieren, sogar mit Kaspersky 4.5.

Das deregistrieren der .dll soll angeblich von neueren Varianten bereits umgangen werden.

Domino
edit: Rechtschreibung

Kaspersky Patch bezüglich des .wmf exploit

Kaspersky stellt einen Patch für seine AV-Produkte zur Verfügung.

lesen & laden & installieren

Domino

themen zusammengeführt :)

GUA

Microsoft kündigt einen Patch an.

heise

Domino

Microsoft veröffentlicht WMF-Patch (KB912919)

Zitat:

Dennoch wartete die IT-Welt gespannt, ob der Redmonder Konzern nicht doch von seiner Patch Day-Politik ablässt und für diese Lücke ein Patch so schnell wie möglich und nicht erst am nächsten Patch-Day veröffentlicht. Heute Abend nun hat Microsoft ein Patch für besagte Lücke freigegeben.

Der Patch ist ab sofort im Microsoft Download Center verfügbar und kann unter folgenden Adressen für die entsprechenden Systeme bezogen werden:

Quelle: WinFuture

Aber kein Patch für ME & W98

Sind die nicht betroffen oder gibt es keinen Patch ?

Weiß jemand genaues ?

Domino

@ Domino

Schau mal unter 'Executive Summary' bei Microsoft oder aber auch bei Heise:

Zitat:

Windows 98 (SE) und ME werden nicht mehr versorgt, obwohl die verwundbare Bibliothek auch dort vorhanden ist, da Microsoft für die Altlasten nur noch als kritisch erachtete Lücken fixt.
Diese Einstufung sei aber nicht erforderlich, da man dort kein kritisches Einfallstor gefunden habe. Ähnliches gilt für Nutzer von NT 4, für das Microsoft ebenfalls keinen Patch veröffentlicht.

Quelle: http://www.heise.de/newsticker/meldung/68033

*hust*

Nicht kritisch ?
Der lädt alles nach was Rang und Namen hat.....

Dann ist es wohl Zeit auf xp "hochzurüsten". (Oder gleich Vista?)

:pfui:

Domino

habe heute gelesen, dass der patch von ms erst am 10.01.06 kommt :pfui:
danke für den tip dass der schon verfügbar ist :)
habe "mich" gerade mal upgedatet :party:

GUA

hallo kann mir hier jemand helfen ?
der patch von microsoft geht bei mir nicht .bekomme fehlermeldung :
incompatible sprache oder so . habe WIN XP Prof Deutsch!
Patch in engl + german alle ohne erfolg