Come può esistere un virus in un'immagine?

Question

Ho visto di recente il video this di un esperto finlandese di sicurezza internet. Intorno all'undicesimo minuto, parla di un virus che è nascosto in un'immagine e viene eseguito quando l'immagine sta per essere visualizzata.

mi chiedo come fanno tecnicamente fanno una cosa del genere, voglio dire come mai il virus è eseguito, quando l'immagine deve essere visualizzata e come mai l'immagine non è compromessa in qualche modo. Ho pensato che il computer prima guardasse l'estensione, quindi la aprisse con il programma appropriato e lascia che il programma funzioni da solo (e non mi aspetto che il normale visualizzatore di immagini sia in grado di eseguire un virus dentro di sé). Ovviamente non funziona così, ma nessuno che ho chiesto potrebbe aiutarmi con questo.

Quindi qualcuno sa come fanno a fare questo, il principio? Grazie mille.

Answer 1

Hai ragione che il sistema operativo sceglierà un programma e chiederà di aprire l'immagine. Il sistema operativo non chiederà al programma di eseguire l'immagine - sarebbe una sciocchezza.

Tuttavia, le immagini sono formati complessi e spesso contengono metadati e altre parti non mostrate direttamente: è possibile nascondere elementi senza modificare l'immagine sullo schermo. Quindi potrebbero esserci dati ostili che si nascondono all'interno del file immagine.

Inoltre, il programma può presentare bug, in particolare buffer overflows. In breve, un virus può sfruttarlo inserendo dati troppo grandi nelle sezioni dei metadati: più grande del programma che decodifica l'immagine si aspetta. I buffer interni si sovrappongono e con sufficiente abilità, uno scrittore di virus è in grado di mettere il codice eseguibile nel posto giusto in memoria in modo che il programma che decodifica l'immagine finisca nello eseguendo il codice. In questo modo un file innocente e "morto" come un'immagine può ospitare un exploit.

Answer 2

Non deve essere visualizzato, deve essere letto.

Il sistema operativo potrebbe disporre di un thread di generazione di miniature che analizzerà tutte le immagini che trova. Un overflow del buffer in quel codice consentirà l'esecuzione del codice senza l'intervento dell'utente.

Questo vale per qualsiasi file con qualsiasi forma di funzione automatica di lettura, per estrarre le proprietà di un mp3, indice di un PDF, ecc

Answer 3

Un virus può negozio informazioni in un'immagine, e può sfruttare un vulnerabilità in un programma di visualizzazione di immagini. Non è in grado di "infettare" un'immagine, al punto di alterare pericolosamente un'immagine in modo tale che il programma che probabilmente lo aprirà verrà sovvertito e innescherà un exploit in quel processo.

Se un virus inserisce dati malformati in un'immagine per sfruttare il programma X e l'immagine viene aperta nel programma Y, è probabile che l'immagine non venga renderizzata perché troppo malformata o renderizzata come innocente o un'immagine dall'aspetto casuale in quel programma.

Il difetto, come tutte queste cose, non è nel formato dell'immagine, ma piuttosto nell'implementazione del decodificatore dell'immagine.