Un lindo cursor es infecciosamente rápido
Un cursor o icono animado es una imagen construida por una serie de cuadros, para dar la ilusión de movimiento. La animación es el resultado de ir cambiando un frame por otro, en una secuencia repetitiva. Las extensiones usadas para este tipo de archivo son .ANI, .ICO. y .CUR.
Muchos sitios en Internet usan cursores animados para mejorar el atractivo de las páginas web y de esta manera mantener y aumentar el número de visitantes.
Windows es propenso a un desbordamiento de memoria cuando procesa estos archivos, si los mismos han sido modificados maliciosamente. El sistema no valida correctamente el tamaño del archivo especificado en la información del mismo, produciéndose el error. El Explorador de Windows es vulnerable a este fallo porque al abrir una carpeta analiza los archivos allí contenidos. También lo es cuando se selecciona un cursor animado para el sistema operativo.
Internet Explorer se ve afectado cuando procesa un archivo .ANI en una página HTML.
También es afectado Mozilla Firefox, al interpretar estos archivos, permitiendo la ejecución maliciosa de código.
Un atacante que se aproveche del fallo, puede causar una denegación de servicio o la ejecución de código remoto. Las características de esta vulnerabilidad permiten usar múltiples vectores de ataque para lograr su objetivo, e infectar o paralizar el ordenador.
Ha sido publicado por Microsoft un aviso de seguridad relacionado con este fallo. No se ha publicado ninguna actualización que lo solucione, a pesar de que el problema era conocido desde diciembre de 2006.
Lo más grave de todo esto, es que la vulnerabilidad está siendo activamente utilizada para la ejecución e instalación de troyanos en forma oculta, la mayoría a través de sitios de Internet que han sido comprometidos.
Actualmente NOD32 detecta la mayoría de estos códigos maliciosos como Win32/TrojanDownloader.Ani.G.
El software afectado es:
- Microsoft Windows 2000
- Microsoft Windows XP
- Microsoft Windows Server 2003
- Microsoft Windows Vista
Se recomienda no abrir enlaces no solicitados ni visitar sitios web con cursores animados.
Debido a que puede propagarse con el uso de código HTML, un factor mitigante es leer los mensajes de correo electrónico en formato solo texto. Otro factor que ayuda es usar el formato clásico cuando se examinan carpetas en el explorador de Windows.
El panel de Vista Previa en el Outlook Express es afectado automáticamente por la vulnerabilidad sin intervención alguna del usuario.
Los usuarios de Windows Vista no se ven afectados mientras no contesten o reenvien el mensaje sospechoso de provocar el fallo.