Wmf-lek blijkt geen lek maar Windows-functie

Virusexperts wereldwijd zijn in rep en roer nu het recent ontdekte 'wmf-lek' gretig door hackers wordt misbruikt. Bovendien is nieuwsjaardag een nieuwe exploit verschenen waarmee het lek kan worden misbruikt.

Volgens F-Secure is deze versie geavanceerder dan de vorige en daardoor veel gevaarlijker. 'Het stelt nieuwkomers in staat om eenvoudig snel veranderende en moeilijk te detecteren versies van afbeeldingen te maken die computers kapen als ze worden bekeken', aldus Mikko Hypponen van F-Secure.

Omdat Microsoft nog geen patch voor het lek beschikbaar heeft, schat Hypponen dat honderden miljoenen computers wereldwijd geïnfecteerd kunnen worden.

Alle versies

Het potentiële gevaar is mogelijk nog groter dan aanvankelijk gedacht. Inmiddels is duidelijk geworden dat het 'wmf-lek' eind jaren tachtig bewust aan Windows is toegevoegd om bepaalde functionaliteit mogelijk te maken.

De fout lijkt dan ook alle versies van Windows te treffen en niet alleen Windows XP en Server 2003, zoals aanvankelijk werd gedacht.

Happy New Year

Niet alleen is er inmiddels een nieuwe exploit ontdekt, ook hebben virusexperts een mailvirus ontdekt dat misbruik maakt van het wmf-lek. Dit virus, genaamd PFV-Exploit.D, komt binnen als nieuwjaarwens in de vorm van een jpg-plaatje en installeert na executie een Trojaans paard.

Virusexperts verwachten echter niet dat het bij dit virus blijft. 'Het wordt allemaal nog erger', zo voorspelt Hypponen, die geen goed woord over heeft voor de virusexperts die hebben bijgedragen aan het verspreiden van de exploitcode.

'Het openbaar maken van dergelijke hulpmiddelen als er nog geen patch beschikbaar is, is onverantwoord', stelt Hypponen. 'Iedereen die betrokken is bij het maken en distribueren van de exploit weet dit en zou beter moeten weten.'

Fix

Ook de bekende Windows-expert Ilfak Guilfanov, tevens auteur van Interactive Dissembler Pro (IDA), heeft zich in het wmf-lek verdiept en een fix ontwikkeld.

Deze bugfix (exe) tast de functionaliteit van het systeem niet aan, maar schakelt de eind jaren tachtig ingebrachte Escape()-functie uit. Experts, waaronder SANS, adviseren deze fix te installeren.