L'exploit del JPEG arriva dal profilo utente degli IM

La falla relativa all’interpretazione delle immagini JPEG da parte dei sistemi operativi Windows potrebbe colpire l’utente tramite un nuovo canale che sfrutta l’uso di software di Instant Messaging. Ovviamente rimangono incolumi coloro i quali hanno già provveduto a scaricare ed installare l’apposita patch recentemente rilasciata, mentre i sistemi vulnerabili rimangono in situazione di grave rischio.

Il nuovo sistema escogitato è l’inserimento dell’immagine (appositamente ricreata) nel proprio profilo registrato sull’Instant Messenger: l’utente che proverà a visionare tale immagine sarà inesorabilmente colpito dall’exploit e la macchina correrà tutti i rischi conseguenti.

Le conseguenze sono inoltre maggiormente importanti nel caso in cui il desktop faccia parte di una rete aziendale, in quanto può venire a costituire una vera e propria invitante porta d’accesso per malintenzionati esterni. Secondo Mikko Hypponen, responsabile F-Secure, un eventuale controllo delle immagini inserite nei profili degli IM è però difficilmente attuabile a causa del controllo antivirus limitato a particolari file (con l’esclusione ad esempio dei .jpg). L’unica vera soluzione al problema è l’installazione della patch, in quanto il non uso di un IM (consigliato comunque dall’agenzia WhiteHat, ovvero coloro i quali hanno rilevato il nuovo sistema di offesa) non mette comunque al riparo da eventuali attacchi tramite altri canali.

Fin da quando il bug del Jpeg è venuta a galla, si è manifestata in tutta la sua chiarezza la pericolosità di un eventuale exploit: l’apertura di una immagine “infetta” è infatti possibile tramite l’invio via mail, tramite l’apertura di un apposito sito web, tramite un download forzato. Tra i primi canali ad essere sfruttati fu proprio l’IM, grazie al quale è possibile invitare al click ignari utenti mascherando l’immagine maligna con nomi dal giusto impatto. A quel punto bastava solo un click, ma con il nuovo sistema basato sull’inserimento del .jpg nel profilo utente anche quest’ultima forzata (e necessaria) interazione risulta sorpassata.