Bir animasyonlu imleç kalkıp bir işletim sistemini "tuş" edebilir mi? Maalesef evet.

Windows tarihinin en ilginç ve muhtemelen en şaşırtıcı güvenlik açıklarından birisi nedir sorusunun artık yeni bir cevabı var: animasyonlu imleçler. Daha önce de NT gibi versiyonların başına dert olan imleçler bu sefer de güncel Windows sürümlerinin başına iş açıyor. McAfee AvertyLabs'ın bir forumda farkettiği ve bildirdiği açık sisteminize çekeceğiniz bir hareketli imlecin Windows'unuzu çökertebileceği veya saldırganlara teslim edebileceği anlamına geliyor. Ne yazık ki imleçleri Internet Explorer ile bir siteyi gezerken veya posta kutunuza gelen bir eposta ile sisteminize bulaştırmanız oldukça kolay. Bilindiği üzere animasyonlu bir imleç için .ani dosya uzantısı kullanılıyor; saldırganların kullandığı yöntem de basitçe zararlı kodlarını .ani uzantılı bir dosya halinde kullanıcılara göndermek ve ardından Windows'un bu ani dosyasını USER32.dll ile "işlemesini" beklemek.

Etkilenen sistemler şunlar:

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium)
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 for Itanium-based Systems
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 with SP1 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition
• Microsoft Windows Vista

Firefox/Thunderbird/Opera ve Windows XP'nin SP0 ve SP1 versiyonları bu problemden etkilenmiyorlar. Vista ise Animasyonlu imleç dosyasını IE7 korumalı modda ise sisteme bulaştırmamakla birlikte; dosya masaüstüne atılırsa Explorer.exe'yi tekrar tekrar çalıştıran bir kısır döngüye giriyor. Avert Labs'dan Craig Schmugar bunu belgeleyen bir de video hazırlamış ve Youtube'a göndermiş:

ekstra:
-Microsoft açık için bir güvenlik bülteni yayınlamış durumda:
http://www.microsoft.com/technet/security/advisory/935423.mspx

-2005'teki açığı bulan eEye firması da bir yama yayınlamış:
http://research.eeye.com/html/alerts/zeroday/20070328.html

-Determina firması ise açığı Aralık 2006'da Microsoft'a bildirdiklerini ama yamanmadığını bildiriyor.
http://www.determina.com/security_center/security_advisories/securityadvisory_0day_032907.asp

- Websense açığın şu an 9 sitede kullanımda olduğunu bildiriyor. Ve iddiaları bu sitelerden birinin Super Bowl'a ev sahipliği yapan Dolphin stadyumu sitesi kullanılarak Şubat ayında yapılan saldırıda da kullanıldığı yönünde:
http://www.websense.com/securitylabs/alerts/alert.php?AlertID=762