Articol preluat cuvant cu cuvant de la adresa http://rstcenter.com/forum/24854-video-virus.rst
Autor: B7ackAnge7z

Prefață:
Acest articol trebuia să apară pe RST la începutul lunii aprilie, dar cu părere de rău, tot nu găseam timp să-l scriu, iar la un moment dat am crezut ca nici nu mai are rost să o fac. Însă astăzi, observând că eroarea găsită de mine încă e valabilă, am decis ca să public articolul, sperând ca mulți dintre cei care-l vor citi, să găsească ceva interesant, nou, neobișnuit… Mai întâi de toate, vreau să precizez, că articolul a fost scris în limba rusă și publicat pe un site rusesc pe data de 1 aprilie, dar necătînd la faptul că au trecut deja câteva luni, eroarea persistă.

Amintiri:
Totul a început la sfârșitul lunii martie, după ce am citit un post, în care autorul spunea, că dorind să privească una din seriile sitcom-ului american ”The Big Bang Theory”, a descărcat un fișier WMV, și dat fiind faptul ca Light Alloy nu putea reda filmulețul, a încercat să-l deschidă în Windows Media Player, care, l-a rândul lui avea nevoie de o oarecare ”licență”. A acceptat, și… norocul lui a fost, că antivirusul instalat, era unul dintre cele 3 sau 4 programe care putea detecta acel fișier ca fiind un Rootkit TDSS.

Ok. Autorul a avertizat cititorii, într-un comentariu a lăsat link-ul de unde a descărcat fișierul, și, practic au uitat toți de acea întâmplare. Eu însă, citind acel post, mi-am adus aminte de un caz similar, când într-o bună zi, deschizând un fișier de tip MP3, în loc să înceapă redarea fișierului, s-a deschis o pagină WEB pe care o vedeam pentru prima dată. Cel mai interesant este, că pagina a fost deschisă în Internet Explorer (necătînd la faptul ca nu era setat ca browser implicit), și autorul acelei ”compoziții” cu ușurință putea să insereze pe pagină un exploit special pentru IE.

Sincer, în acel moment nu mă gândeam la o pagină exploit-uri, și în loc sa analizez fișierul, pur și simplu l-am șters, iar unicul lucră la care mă gândeam, era că cineva își promovează site-ul într-un mod extrem de original. Au trecut deja câțiva ani de atunci, dar astfel de cazuri nu am mai întâlnit. Iată de ce, citind acel avertisment despre fișierul WMV si Rootkit-ul TDSS, am decis ca măcar de data asta să nu ratez șansa de a afla cît de sigure sunt cele mai inofensive și cele mai răspândite fișiere din lumea virtuală.

Fișierul video:
Așa cum am mai spus, autorul postului a lăsat adresa de unde puteam descărca acel fișier video, un .torrent, care împreună cu mine, era descărcat și de alți ~15 utilizatori, cărora, la sigur nici nu le trecea prin gând ce lecție de securitate îi așteaptă…

Eu însă, după ce am descărcat fișierul, știind ca nici un alt media-player nu-l poate reda, l-am deschis în Windows Media Player, iar primul lucru pe care l-am văzut, a fost mesajul «Download media usage rights»

După aceea, a apărut un mesaj mult mai convingător, propunându-mi să descarc un oarecare fișier de tip ”License-Installer” , care printre altele, a fost deja verificat de un program Antivirus:

Privind cu atenție mesajul, am apăsat pe butonul «Download Now», și în așteptarea vreo unei reacții din partea programului Antivirus, am văzut un mesaj ”des întâlnit”, care se oferea să descarce fișierul Setup.exe, de pe serverul license.compress.to:

Și iată în acest moment, a apărut prima întrebare, dacă primul mesaj spunea că fișierul se descarcă de pe serverul free-license.imgpop.com, atunci de ce fișierul se afla pe serverul license.compress.to? Pentru a găsi răspuns la această întrebare, am analizat ambele site-uri, dar, așa și cum era de așteptat, nu am găsit nimic interesant.

Protecția DRM:
Următorul pas pe care l-am făcut, a fost deschiderea fișierului de 150 MB, într-un HEX-redactor, dar nici nu mă așteptam ca va fi atât de simplu. În primele rânduri am găsit următorul text:

Am deschis pagina http://free-license.imgpop.com/venuf.php?id=Movie_0001.wmv, care automat m-a redirecționat (HTTP/1.1 302) spre pagina http://free-license.imgpop.com/venuf/index.htm, unde, am văzut o imagine cunoscută deja, doar că era ”puțin” mai mare, și plus la aceasta… era o pagină WEB:

Apoi, dorind să experimentez puțin, am încercat să editez adresa URL din fișier, dar — fără succes, căci, nici WMP nu mai dorea să deschidă fișierul video. Așa că, ”l-am întrebat” pe Google, dacă nu știe ce reprezintă această linie de cod: [I]WRMHEADER version=’2.0.0.0′[/I], care pe lângă multe altele, am găsit-o cu ajutorului HEX-redactorului:

Răspunsul de la Google, a fost scurt și clar ca lumina zilei — aveam de-a face cu Protecția DRM a fișierelor video. Astfel, mi-am dat seama că cu ajutorul unor metode legale și destul de convingătoare, un atacator poate răspândi cu succes fișiere malware fără teama de a da greș: deoarece, în primul rând nici un program Antivirus nu v-a detecta malware-ul, iar în al doilea rând, majoritatea utilizatorilor au încredere in programele Microsoft și cu siguranță vor rula astfel de fișiere.

Plus la aceasta, Windows Media Player nu este singurul player care poate reda fișiere protejate cu ajutorul DRM. Nu am găsit lista tuturor programelor care pot reda astfel de fișiere, însă știu cu exactitate că Nero ShowTime suportă DRM, doar că spre deosebire de WMP, e mai prudent,si preîntâmpină utilizatorul despre pericol (problema totuși, persistă, dacă se acceptă, pagina v-a fi deschisă în IE și nu se v-a ține cont de faptul, că alt browser e setat ca implicit):

Trebuie de remarcat faptul, ca dacă se schimbă extensia fișierului din .wma în .asf sau .wma, nimic nu se schimbă, fișierul în continuare e redat cu succes, și ce e cel mai periculos, este că în majoritatea cazurilor, fișierele .wma, vor fi automat deschise în WMP. Și apropo, am uitat să spun, după ce am deschis fișierul în HEX-redactor, am eliminat octeții ”inutili” — și am obținut un fișier ce avea mărimea egală cu 5.31KB.

Internet Explorer:
Probabil mulți cred că: «Nu există nici un pericol! Pur și simplu nu o să descarc nici o licență! Și apoi, ce legătură există între Internet Explorer, Windows Media Player și fișierele WMV?». La început, și eu credeam la fel, doar este butonul «Cancel» cu care poți anula descărcarea fișierului. Dar, cum acuși o să vă dați seama, acest buton nu va salva pe nimeni dacă fișierul a fost deschis în WMP. Cât despre IE — e o aplicație software, cu ajutorul căreia se poate de navigat pe internet…

Am găsit informație precum că Protecția DRM poate fi compromisă, însă eu nu am făcut acest lucru. În primul rând nu eram sigur că o să pot modifica adresa URL, iar în al doilea — am ales o cale mult mai ușoară: în fișierul hosts din folder-ul \Windows\System32\drivers\etc\, am adăugat următoarea linie: 127.0.0.1 free-license.imgpop.com