Вирусы в Outlook Express

Евгений Портнов

Хорошо известная программа Outlook Express (далее ОЕ) содержит ошибку, из-за которой вложенные в письмо исполняемые файлы могут запускаться без разрешения пользователя, просто при просмотре письма. Эта проблема (т.н. IFRAME-уязвимость) была известна еще в прошлом году, однако исправляющий ее патч подходит не во всех случаях. (об этом см. ниже). Поэтому количество людей, пользующихся уязвимой версией ОЕ, оставалось высоким. В последнее время появились вирусы, использующие эту уязвимость, и стали очень быстро распространяться. Некоторые из них: Klez, Aliz, BadtransII, Nimda, Toil.

Вообще есть два основных пути заражения компьютера почтовым вирусом (или червем, как их еще называют):

1. Вирус запускает пользователь, т.е. вы сами. Элементарная осторожность и знание простейших правил защитит вас от этого.

2. Вирус запускает ваша почтовая программа. В этом случае осторожность состоит в том, чтобы не пользоваться скомпрометированными почтовыми программами. В данном случае, речь идет об ОЕ.

Вопросы и ответы.

Q: Диагностика. Как проверить свой ОЕ на уязвимость?

A: Вот один из способов. Скачайте, сохраните на диск, а потом запустите вот этот файл: test_oe.eml, размер 5 кб. (Другой вариант.) Это стандартный файл письма. Открыв его в нормальной почтовой программе (любой), вы увидите обычное окно просмотра письма, в котором будет виден текст письма и вложенный файл. Если ваш Outlook Express уязвим, то он автоматически запустит этот файл, и кроме обычного окна вы увидите серое окошко с надписью "Windows 95" и кнопкой ОК. Вложенный файл - программа, которая больше ничего не делает, просто показывает это окошко. Если она запустилась, перестаньте пользоваться Outlook Express сейчас. Кроме того, возможно, ваш компьютер уже заражен. Что делать в этом случае - читайте здесь.

Q: Чем вызывается проблема и какие версии ей подвержены?

A: Ошибка находится не в самом ОЕ, а в Internet Explorer, так как ОЕ пользуется средствами Internet Explorer для отображения писем. Поэтому наличие уязвимости зависит от версии IE, и только. У Касперского сообщается, что эта проблема присутствует в версиях IE 5.01 и 5.50. К этому я добавлю, что еще она присутствует в IE 5.00. Лично я наблюдал эту проблему в следующих версиях IE (русских):

5.00.2614.3500
5.00.2314.1003

Узнать, какая версия у вас, можно через меню IE "справка".

Q: Если это - дыра в IE, не могут ли ко мне вломиться при просмотре веб-страниц?

A: Могут. Но такую страницу тут же пришибет провайдер, так что эта проблема менее актуальна, чем вирусы в письмах. Если вас это беспокоит, либо скачайте последнюю версию IE (и обновляйте его после каждого нового сообщения о дыре), либо поставьте себе другой браузер. Некоторым нравится Opera, а некоторым Netscape. Лично я пользуюсь Оперой и всем советую. Но это уже вопрос вкуса.

Q: А в IE 6 все нормально?

A: Там этой дыры нет, но там регулярно находят другие дыры самого разнообразного свойства. О них ищите информацию в других местах. Я пишу здесь о самых распространенных проблемах. Кроме того, IE6 должен быть поставлен в режиме Typical или Full Install. Если он поставлен как Minimal или Custom, там эта проблема может остаться.

Q: Тест показал, что с моим ОЕ все нормально. Можно продолжать им пользоваться?

A: Как хотите. Я не доверяю этим программам. Если регулярно обновлять IE, может быть, ими и можно пользоваться.

Q: Что делать, если тест показал, что OE уязвим?

A: Первым делом, перестать им пользоваться. Проверить свой комп на наличие вирусов. Установить какую-нибудь другую почтовую программу, например Thе Bat. Если вы пользуетесь mail.ru или другим подобным сервисом, пока вы не установили другую почтовую программу, читайте почту через веб-интерфейс. Если вы продолжаете пользоваться ОЕ, зная, что он уязвим, заражение вирусом рано или поздно вам гарантировано.

Q: Как насчет патча? Говорят, его выпустили чуть ли не год назад...

A: Действительно, говорят. У Касперского написано буквально следующее:

Данная брешь была обнаружена в конце марта 2001 г. и описана в бюллетене Microsoft

"Заплатка", устраняющая данную уязвимость, выпущена компанией Microsoft 29 марта 2001 г. и доступна для загрузки по адресу:

На сайте "Диалог-наука" написано почти то же самое: Более подробную информацию о бреши в защите MS Internet Explorer, которую использует данный вирус, а также соответствующую заплатку (патч) можно найти здесь: http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

(Копия этого описания у меня.)

Пройдя туда, куда нас посылают Касперский и Данилов, мы видим предложение скачать патч, и системные требования для этого патча:

System Requirements

Note This update is included in Internet Explorer 5.01 Service Pack 2.

О более старых версиях в другом месте написано: Tested Versions:
Microsoft tested IE 5.01 and IE 5.5 to assess whether they are affected by this vulnerability. Previous versions are no longer supported and may or may not be affected by this vulnerability.

То есть этот так называемый патч не подходит к версиям 5.00, 5.01, 5.50, если они не "SP". Ему нужна версия 5.01 Service Pack 1 (по русски она называется версия 5.01, обновление 1), или 5.50 Service Pack 1. Если у вас именно такая версия, вам крупно повезло. Вы можете скачать 500 кб с сайта и спать спокойно. Если она есть у вас - напишите мне в гостевую книгу. Если же у вас SP2, все совсем хорошо. Ничего делать не надо.

Проблема в том, что эти версии весьма редко встречаются. У всех моих знакомых стоит либо IE 5.00, либо 5.50, без обновлений. Что же касается "обновлений", то сайт MS сообщает, что для того, чтобы "обновить" IE с любой пятой версии (например 5.00) до версии 5.01 sp 2, потребуется скачать от 6 до 17 мегабайт. (Вероятно, все же ближе к меньшему пределу.) То же самое сказано о версиях 5.50SP1 и 5.50SP2. Все версии 5.хх скачиваются здесь. Размер версии 6: минимальный 11 мб (не подходит, т.к. не решает проблему), типичный 25 мб (это - то, что вам надо). (Там в другом месте написано, что от 6 до 17, но это, скорее всего, просто ошибка - скопировали со страниц про пятую версию.)

Все размеры приведены согласно тому, что написано на их сайте. Естественно, я не скачивал все это лишь затем, чтобы узнать размер ;-)

Из всего этого можно сделать такой вывод: либо надо избавляться от Outlook Express, либо скачивать последнюю версию IE. Патчи практически бесполезны. По-моему, лучше поставить The Bat.

Q: Что сделают с теми, кто будет рассылать такие письма с троянами, чтобы добыть пароли? :-)

A: Ответ здесь ;-)