Eerste virus gevonden in Adobe PDF bestanden

C|Net rapporteert dat de jongens en meisjes van McAfee het eerste virus hebben ontdekt dat zich via PDF bestanden verspreid. Peachy - zoals het genoemd is - is nog niet in het wild betrapt, waarschijnlijk omdat het zich op dit moment alleen via Acrobat kan verspreiden en niet via het gratis verkrijgbare Acrobat Reader. Deze laatste kan namelijk geen attachments openen en Adobe heeft naar eigen zeggen ook geen plannen om dat mogelijk te maken. Product-manager Sarah Rosenbaum moet echter toegeven dat het PDF formaat door haar eigen populariteit een steeds aantrekkelijker doelwit wordt voor makers van virii, vooral omdat populaire doelwitten als Outlook geen rekening houden met een aanval vanuit een PDF. Men is echter nog niet van plan om het uitvoeren van VBScript onmogelijk te maken. Achteloze gebruikers die op OK klikken om van het gezeur af te zijn kunnen dus ook in de toekomst ten prooi vallen aan allerhande kwaadaardige scripts:

Smith said he believes Acrobat Reader software could prove susceptible in any case. Indeed, the Computer Emergency Response Team posted news of a vulnerability in the Windows version of Acrobat in November 2000 that could let an outside attacker gain control over the computer of a person who simply viewed a PDF file. Adobe patched that hole.

Acrobat lets people embed different file types within a PDF, including everything from the VBScript programs--used in the LoveLetter virus--to an actual executable program, Gullotto said.

Peachy is named after a small game in a PDF file that involves finding peaches, Gullotto said. According to a person called Zulu, who said he wrote Peachy, showing the solution to the game runs a VBScript file.

DJMuggs was de eerste met de tip, bedankt!

Reacties (51)

[Verwijderd]

je kunt tegenwoordig ook helemaal niks meer vertrouwen. .exe .com .pif .pdf .... Straks ook nog mp3.

[Verwijderd]

mp3 is niet uitvoerbaar, er zijn geen commando's die in de mp3 staat die uitgevoerd worden.
bij pdf zijn een heleboel functies waarvan er vast wel een hele hoop dingen aanroepen en uitvoeren in macro stijl.

ik hoorde wel eens van iemand dat er in een mp3tje een virus zat, maar dat is dan gewoon de code, kan verder geen kwaad. Komt ook wel eens voor in plaatjes ed. Niets om je zorgen over te maken

[Olaf van der Spek]

Tenzij er bijvoorbeeld door express foutieve compressie input een buffer overflow wordt gegenereerd en de data ineens als code wordt uitgevoerd.

[The End]

Ik zie niet in hoe een buffer overflow ervoor kan zorgen dat een virus uitgevoerd wordt. 9 van de 10 keer zorgt een bufferoverflow voor een protection error. Verder kan data corrupt worden. daarbij komt ook nog dat je ervan uit kan gaan dat de mp3 decompressie progs checken of er een buffer overflow kan ontstaan.

[weertenaar]

Een paar weken terug bij een kennis de virusscanner of de oude pc gehaald.. Vindt hij een virus in een .jpg bestandje? Dat was wel effe schrikken.

[xces]

(windows heeft de neiging om files als .jpg weer te geven terwijl ze de extensie .jpg.exe hebben, als je "extensies verbergen voor bekende bestandstypen uitschakeld).

[Crazy D]

(windows heeft de neiging om files als .jpg weer te geven terwijl ze de extensie .jpg.exe hebben, als je "extensies verbergen voor bekende bestandstypen uitschakeld).

Da's dus iets wat ik niet begrijp. Hebben mensen die hide extensies aanstaan, normaal zien ze dus nooit .exe of .jpg en dan opeens zien ze wel .jpg staan.. en dan nog heel naief dubbelklikken erop....

[Verwijderd]

Mensen (=leken) moeten echt een "COMPUTER GEBRUIK BEWIJS" gaan halen, een soort rijbewijs voor computerleken.

Men mag niet zomaar op als klikken, zoals je niet met alle pedalen en knopjes van je auto mag spelen, gas geven en remmen gaan niet samen!

[0rbit]

Waarom zouden mensen dat nodig hebben? Zolang je zelf maar alert bent kan jou toch niks gebeuren? Zie het als een vorm van natuurlijke selectie...

Er zou een stuk minder risico op verspreiding van viri als de applicatie-programmeurs eens wat minder "handige"-functionaliteits-fratsen zouden uithalen.

[Verwijderd]

Zodra men zich op de openbare electronische weg begeeft, kan er door veel onervaren gebruikers wel veel onnodig verkeer ontstaan, waar ik wel last van heb.
Je mag ook niet zomaar een telefoon aansluiten aan het net van KPN: die moet zijn goedgekeurd door KPN, zodat het netwerk niet kapot gaat. En daar zouden anderen toch ook wel last van hebben...

[Verwijderd]

En flitspalen op het internet zeker

[M.I.G.]

Jah, meer dan 10kb/s. ZAP! <imagenaardestaat>. 150 piek. Balen!

[Guardian Angel]

Waar slaat dit op? Eerst je CGB halen en dan pas een PC? Nonsens... tenminste als dit serieus is bedoeld.

Dit is algabrabbel.....

Op school hield ik niet van algEbra

[Verwijderd]

jawel hoor als ik op men gas en rem tegelijk duw word de priority aan de rem gegeven gaat perfect

[whazza]

Ik blijf het zeggen hoor, het maakt niet uit hoe erg je een pc ook dichtzet tegen virii/hackers/enz, de zwakste schakel blijft toch altijd de gebruiker.

Nu weet ik ook wel dat meeste (leken?) gebruikers alles maar wegklikken of 'don't show this msg again' aanvinken omdat het zo gemakkelijk is. Maar daarmee is mijn bovenstaande punt alleen maar mee bevestigd

[Gekke Dirkie]

<zeik mode>
Wat zijn "virii"?
Het meervoud van virus is viri (of virussen op zijn goed nederlands )
</zeik mode>

Gelukkig dat dit niet werkt bij acrobat reader...

[Verwijderd]

[Heel erg off-topic, maar ik kon het niet laten]

LOL, een +4 voor een fout iets...

Virus -> Virussen (NL)
Virus -> Viruses (US)

Viri bestaat niet:

"Writers who, searching for a fancy plural to virus, incorrectly write *viri are doubtless blindly applying an overreaching -us => -i rule. This mis-inflects many words."

Met als virii:

"Those confused souls who write *virii are tacitly positing the existence of the non-word *virius, and declining it as though it were like filius. It's true that l/r are both linguals that sometimes get interchanged, and that f/v are just a change in voicing[2], but that's just reaching. *Virii is still completely silly, so don't do that; otherwise, everyone will know you're just a blathering script kiddie."

http://language.perl.com/misc/virus.html

[Eelke Spaak]

Het meervoud van 'virus' is in het Nederlands 'virussen'. Als je het op z'n Latijn wil gaan doen dan is de nominativus meervoud ook 'virus'. Het Latijnse woord virus wordt namelijk vervoegd als 'domus'. Dus 'viri' is fout (servus-vervoeging heb je dan) en 'virii' al helemaal, dat slaat gewoon nergens op.

[Masselink]

Het grootste probleem van het PDF virus is dat de scanner deze extensie standaard met rust laten omdat PDF niet als gevaar werd gezien...mensen kunnen de scanner wel updaten, maar ze moeten wel aangeven dat .PDF een gevaar kan zijn....

[mullah]

meestal wordt de scanengine niet geupdate maar alleen de virus defs

als de engine geupdate wordt kan er vast wel iets veranderd worden zodat pdf ook als executable gezien wordt

[sab]

offtopic:
Ik geloof dat Norton Liveupdate dat wel netjes oplost.

[Masselink]

Ik werk in de Informatiebeveilingsbranche. we doen McAfee, Norton, CA, Sophos, kaspersky etc...dus ik weet wel waar ik over spreek. Natuurlijk kunnen ze een PDF wel laten scannen, maar wie verteld mij of het wel mogelijk is om dat te doen ?? Als je een zip wil scannen, dan moet je in de zip kunnen kijken. Ik denk dat hetzelfde gebeurt met PDF. Moet Adobe geen toestemming geven om PDF-files te mogen lezen en wijzigen (om te cleanen) met eigen geschreven software (door de virusprotectie fabrikant)

[Verwijderd]

Het PDF (portable document format) is in principe een open standaard. Oftewel de source code is vrij in te kijken en routines om een PDF te scannen zijn dus theoretisch vrij eenvoudig te schrijven.

[markvt]

alleen acrobat, dus niet de gratis reader is er gevoelig voor, en het is weer zo dat alleen de niet oplettende persoon door op ok te klikken het virus aktiveerd..

(vond persoonlijk het cap geminini virus op fok! interessanteR: http://www.fokzine.net/news.fok?id=9666 )

[Wouter Tinus]

het cap geminini virus

dat was gewoon Code Red die Cap Gemini had getroffen. Dat ding heeft over de hele wereld tienduizenden bedrijven geraakt, dus wat is er aan dat bericht zo speciaal?

[Masselink]

Het schijnt een aanval gericht op CAP-Gemini te zijn geweest.

[botoo]

Wederom vbs
Vooralsnog blijft vbs een risicofactor, en bij mij dus gewoon niet geinstalleerd

itsa simpel, eh?

[Verwijderd]

Ah, da's interessant. Ik wist niet dat dat kon. Kun je hier uitleggen hoe dat moet? Want ik zou niet weten waar ik moet zoeken.
En misschien dat je er de nadelen bij kan zetten.

Alvast bedankt!

[botoo]

De nadelen worden hieronder al door iemand aangegeven, spreekt verder wel voor zich, geen visual basic scripts meer dus, ik ben er niet rouwig om.

Het uninstallen is OS afhankelijk, maar voor W98(Engelse versie) Control panel, Add/remove programs, Accesoires (details),en dan Windows scripting host uitvinken.
De Nederlandse versie gaat vergelijkbaar, het word alleen ander benoemd

Windows ME gaat iig wel echt anders, maar daar blijf ik het antwoord ff schuldig.

[4of9]

Het is niet VBscript wat de risico factor is maar de gebruiker.

Vbscript is niks mis mee en word door veel systeem beheerders gebruikt om loginscript etc mee te maken.

hoort mischien niet thuis op een "Home Computer" maar hoe zou jij het vinden als M$ alle Tweakbare meuk uit je OS sloopt?

En het bewijst maar weer eens hoe krachtig VB(script) is

[-=Sentinel=-]

[beetje offtopic]

Misschien wel ff interessant om een poll te houden: Welke virusscanner gebruik jij???

[/beetje offtopic]

[Verwijderd]

[off-topic]
is eigenlijk best goed plan
misschien dan ook wel handig om erbij te zetten hoe ze kunnen worden geupdate of zo....
[/off-topic]

maar om weer over de thread verder te gaan.... denk dat als je alles goed tijd op een back-up gooit en dan ook een up-to-date virusscanner hebt je eigenlijk niets te vrezen hebt....
zeker niet als "homeuser"

bedrijven die veel uitbrengen op .pdf zouden wel hun files moeten nakijken voor deze op het WWW te knallen...

<font color=#786562>* dioser@work gaat gauw even de verslagen nakijken die hij in .pdf formaat heeft rondgestuurd B-)</font>

[Verwijderd]

Gewoon regelmatig je gegevens backuppen, dan zijn de zorgen een stuk minder. En letten op wat je download en installeert. Ook: gebruik een goede virus scanner. Maar belangrijkste is backuppen.

[Namoh]

Volgens mij kun je in de McAfee virusscanner zelf aangeven welk type bestanden moet worden gecheckt. Heeft niks met engine-updates te maken.