【警告】台灣出現零時差攻擊 (Zero-Day Attack)

[琥珀]

非官方修補



琥珀會安裝此修補程式於虛擬系統上。需要重新啟動。

[琥珀]

非官方修補

[ckmarkhsu]

http://www.ithome.com.tw/itadm/article.php?c=42757


Windows動態游標有漏洞　eEye提供修補程式
文/陳曉莉 (編譯) 2007-04-02


該漏洞被列為零時差攻擊漏洞及高度風險等級，而且早有駭客展開攻擊，eEye表示，透過此一漏洞可進行許多不同的攻擊，從植入木馬程式，到透過擴大權限以取得系統掌控權等都有可能發生。


微軟Windows在上週傳出有處理動態游標檔案（.ani）的漏洞後，資安業者eEye旋即在上周五（3/30）發表了非官方修補程式。

McAfee及eEye相繼在上周揭露該漏洞，其中McAfee表示該漏洞已被用來進行攻擊。根據eEye的說明，.ani經常被網頁開發人員用來提供動態游標以改善網站使用經驗，而駭客只要在網站上的.ani檔案中嵌入惡意程式，當使用者執行超連結並造訪惡意網站時就可能受到感染，此外，微軟的Office應用程式也使用相同的.ani處理程式，使得Office檔案亦成為感染途徑。

該漏洞被列為零時差攻擊漏洞及高度風險等級，而且早有駭客展開攻擊，eEye表示，透過此一漏洞可進行許多不同的攻擊，從植入木馬程式，到透過擴大權限以取得系統掌控權等都有可能發生。

因此，eEye緊急在上周發表一暫時性的非官方修補程式供企業及使用者免費下載，並呼籲使用者在其他解決方案尚未出現前儘快安裝。

微軟則在上周六（3/31）發表的安全通知證實此一漏洞的存在，表示正積極調查此一漏洞，並會提供適當行動。微軟下一次的例行性更新日為4月10日。

微軟安全回應中心計畫經理Adrian Stone則在部落格中指出，Outlook 2007及Vista中的Windows Mail並不受此一漏洞影響，但Outlook Express使用者較易受到攻擊。

對於非官方修補程式，微軟一般都是建議使用者避免採用，但過去以來，已有不少資安業者、甚至是個別的研究人員曾針對微軟的重大漏洞推出非官方修補程式，仍有捧場的使用者。（編譯/陳曉莉）

[timma]

htt://www.map.com.tw也中了
NOD32 2.70.27 (20070401)的訊息

時間 模件 物件 名稱 病毒 動作 使用者名稱 資訊
2007/4/2 22:28:41 IMON 檔案 http://www.misofthelp.com//7888p.jpg a variant of Win32/TrojanDownloader.Ani.Gen trojan
2007/4/2 22:28:39 IMON 檔案 http://www.misofthelp.com//9197p.jpg a variant of Win32/TrojanDownloader.Ani.Gen trojan
2007/4/2 22:28:35 IMON 檔案 http://www.ok8vs.com/app/bmw3.pig a variant of Win32/TrojanDownloader.Ani.Gen trojan

F-secure網站資訊：
http://www.f-secure.com/v-descs/exploit_w32_ani_c.shtml

[~GG~]

請問該如何辨識檔案的真正格式類型?

例如: 病毒檔將自己尾裝成圖檔(JPG)，該如何知道它真正的檔案類型?

[darcychan2003]

轉自信箱~

微軟在3月30日發佈重大漏洞--Microsoft Security Advisory (935423)，此安全漏洞會讓Windows用戶遭到嚴重網路攻擊。

這項漏洞將影響所有版本的Windows，包括微軟號稱最安全的Vista。

微軟在安全公告指出，Windows處理游標動畫的環節中出現漏洞可能引發安全風險。

微軟指出，攻擊者可透過含有惡意程式碼的網頁或電子郵件入侵該漏洞 。

「只要使用者瀏覽網頁、或預覽及閱讀遭到變造的電子郵件、或開啟有問題的郵件附檔時，攻擊者就可以操弄系統執行程式碼」微軟的公告指出

此類漏洞通常被有心人士以「自動隱藏式下載drive-by」方式安裝惡意程式進行攻擊。

間諜軟體或遠端控制工具可在使用者被引誘點選惡意網頁或直接入侵正當網站時下載到具有讓漏洞的使用者PC。

這個系統漏洞影響層面相當大，至目前為止仍處於無修補程式狀態。

詳情可參閱微軟官網的說明http://www.microsoft.com/technet/sec...ry/935423.mspx



目前趨勢有偵測到使用這個弱點的病毒清單：

TROJ_ANICMOO.BB

TROJ_ANICMOO.BC

TROJ_ANICMOO.BD

TROJ_ANICMOO.BE

TROJ_ANICMOO.BF

TROJ_ANICMOO.BG

TROJ_ANICMOO.BH

TROJ_ANICMOO.BI

TROJ_ANICMOO.BJ

TROJ_ANICMOO.BK

TROJ_ANICMOO.BL

TROJ_ANICMOO.BM

TROJ_ANICMOO.BN

TROJ_ANICMOO.BO

TROJ_ANICMOO.BP

TROJ_ANICMOO.BQ

TROJ_ANICMOO.BR

TROJ_ANICMOO.BS

TROJ_ANICMOO.BT

TROJ_ANICMOO.BU

TROJ_ANICMOO.BV

TROJ_ANICMOO.BW



可偵測病毒碼為4.383.00，目前可偵測到的檔案均可使用Trend DCE5 Generic Clean進行清除

1.駭客利用SQL injection的相關技術植入惡意連結至各大知名網站

2.使用者連上知名網站，背景導向惡意連結，該惡意連結利用微軟的弱點在用戶端執行惡意程式取得權限

3.受感染的電腦會到其他網站下載其他的惡意程式(目前發現類型均為特洛伊木馬類型的病毒)

4.下載的特洛伊木馬病毒會竊取使用者電腦內的資料



TROJ_ANICMOO.AX病毒相關資訊請參考：

http://www.trendmicro.com/vinfo/viru...ROJ_ANICMOO.AX



解決方案：



使用Trend Micro Gateway端產品的客戶，建議Block下列已知的Url並禁止Executable File的下載



hxxp://blyadsfdg.biz/adv/139/

hxxp://www.advmtek.com/2/

hxxp://www.misofthelp.com/

hxxp://www.macrcmedia.net/exe/

hxxp://blyadsfdg.biz/adv/139/

hxxp://blyadsfdg.biz/adv/114/

hxxp://220.71.76.189/

hxxp://blyadsfdg.biz/adv/102/

hxxp://blyadsfdg.biz/adv/152/

hxxp://blyadsfdg.biz/adv/185/

hxxp://blyadsfdg.biz/adv/186/

hxxp://blyadsfdg.biz/adv/133/

hxxp://blyadsfdg.biz/adv/198/

hxxp://blyadsfdg.biz/adv/153/

hxxp://blyadsfdg.biz/adv/169/

hxxp://blyadsfdg.biz/adv/165/

hxxp://blyadsfdg.biz/adv/180/

hxxp://blyadsfdg.biz/adv/014/

hxxp://blyadsfdg.biz/adv/177/

hxxp://blyadsfdg.biz/adv/171/

hxxp://blyadsfdg.biz/adv/176/

hxxp://blyadsfdg.biz/adv/134/

hxxp://blyadsfdg.biz/adv/113/

hxxp://blyadsfdg.biz/adv/163/

hxxp://blyadsfdg.biz/adv/147/

hxxp://blyadsfdg.biz/adv/109/

hxxp://blyadsfdg.biz/adv/161/

hxxp://blyadsfdg.biz/adv/159/

hxxp://blyadsfdg.biz/adv/110/

hxxp://jonnyasp.com/

hxxp://jonnyasp.com/



未使用Gateway端產品的客戶，建議Enable Officescan IE Temp Folder File Blocking的功能 (須先安裝Hotfix)，禁止所有可執行檔案下載

使用NVW的用戶請更新到NVP 10257即可偵測攔截利用此弱點的病毒

目前已有多數知名網站遭駭客入侵植入連結，建議盡快進行相關防護

[icenoodle]

ZERT也出patch了,
http://zert.isotf.org/advisories/zert-2007-01.htm

我測試是不用重開,
不過他視窗介面安裝會有問題,
我是用命令列模式安裝的.

想測試系統有沒有這個漏洞的網友可以用下面連結測, (有漏洞的話會當)
http://zert.isotf.org/tests/testani.htm

[琥珀]

此網頁測試確實是不準。沒有修補，測試還是通過了。

[~GG~]

作者: icenoodle

ZERT也出patch了,
http://zert.isotf.org/advisories/zert-2007-01.htm

我測試是不用重開,
不過他視窗介面安裝會有問題,
我是用命令列模式安裝的.

想測試系統有沒有這個漏洞的網友可以用下面連結測, (有漏洞的話會當)
http://zert.isotf.org/tests/testani.htm

AntiVir 會攔住!!

####################################
A virus or unwanted program was found!
What should happen with the file?

C:\Documents and Settings\...\xpsp2_2622[1].jpg
Contains signature of the exploits EXP/Ani.Gen

####################################

[threesecond]

今天早上看到更新檔出來了，KB925902
http://www.microsoft.com/technet/sec.../ms07-017.mspx
大家快安裝更新吧。