Marcelo.ar

Después de haber revisado cuidadosamente el parche no oficial creado por Ilfak Guilfanov (que indiqué al final de este post del día de ayer), el SANS Internet Storm Center recomienda la instalación del mismo, ya que el parche hace lo que promete, es reversible y lo consideran seguro y efectivo.

La gente de F-Secure también ha recomendado el parche no oficial, lo cual hace altamente recomendable su instalación hasta tanto Microsoft logre desarrollar el parche oficial.

La versión 1.3 del parche funciona en Windows 2000, Windows XP 32-bit, Windows XP 64-bit, y Windows Server 2003.

Se puede descargar indistintamente desde la URL indicada en el blog Hex Blog de Ilfak Guilfanov o desde el SANS ISC.

Descarga de "wmffix_hexblog13.exe" versión 1.3 (*):

• Desde Hex Blog (**)
  http://www.hexblog.com/security/files/wmffix_hexblog13.exe
• Desde SANS ISC:
  http://handlers.sans.org/tliston/wmffix_hexblog13.exe

[Actualización 01/01/2006, 20:24 Arg]
Disponible parche en MSI (WindowsMetafileFix.msi) en esta página:
http://handlers.sans.org/tliston/WindowsMetafileFix.html

[Actualización 03/01/2006, 22:00 Arg.]
WMFHotfix-1.1.14.msi disponible aqui:
http://isc.sans.org/diary.php?storyid=1010

(**) Sitio de descarga alternativo por no estar disponible Hex Blog:
http://csc.sunbelt-software.com/wmf/wmffix_hexblog13.exe

[Actualización 04/01/2006]
Listado de sitios alternativos de descarga del parche no oficial Versión 1.4 "wmffix_hexblog14.exe" en Hexblog, ahora reducido a un mínimo tamaño debido a la gran cantidad de accesos por parte de usuarios en busca del parche:

1. http://216.227.222.95/
2. http://www.hexblog.com/

(*) El SANS ISC recomienda estas dos acciones:
1) Desregistrar la librería "shimgvw.dll" (Ir a Inicio, Ejecutar y escribir:
"regsvr32 -u %windir%\system32\shimgvw.dll" sin comillas y aceptar)
2) Utilizar el parche no oficial

Ref.:

Windows WMF Metafile Vulnerability HotFix
http://www.hexblog.com/2005/12/wmf_vuln.html

Internet Strom Center recommends Ilfak too
http://www.f-secure.com/weblog/archives/archive-012006.html#00000760

Updated version of Ilfak Guilfanov's patch
http://isc.sans.org/diary.php?storyid=999

Trustworthy Computing
http://isc.sans.org/diary.php?storyid=996

Un mensaje de correo que utiliza el nuevo exploit WMF esta siendo "spammeado" por email.
Dicho mensaje tiene estas características:

Asunto: Happy New Year
Cuerpo: picture of 2006
Adjunto: HappyNewYear.jpg (un archivo WMF con extensión JPG)

Cuando el adjunto HappyNewYear.jpg es almacenado en el disco y luego es accedido (por ser abierto, seleccionado desde el explorador, o indexado via Google Desktop) se ejecutará y descargará un backdoor (puerta trasera de acceso remoto), identificado por F-Secure como "Backdoor.Win32.Bifrose.kt" desde el sitio www.ritztours.com.

En el Blog Sunbelt se comenta que aún no está claro si hace falta acceder al adjunto malicioso o si este se autoejecutará e infectará el sistema (por verlo en vista previa).

Ref.:

F-Secure Blog
http://www.f-secure.com/weblog/archives/archive-012006.html#00000759

Sunbelt Blog
http://sunbeltblog.blogspot.com/2005/12/new-wmf-exploit-confirmed-in-spam.html