Foto JPEG a rischio sicurezza?

Ho letto di recente il seguente articolo:
Le foto JPG mettono a rischio la tua sicurezza
Wired.it è sicuramente una fonte attendibile e lo dovrebbero essere anche le sue sezioni come quella del blog (http://blog.wired.it/hackinsider/) in cui viene pubblicato l'articolo citato.

Niente da obbiettare relativamente ai consigli  (per altro provenienti da ESET,  software house produttrice del noto antivirus NOD32) relativi alla prudenza necessaria nel pubblicare foto personali, in particolare sessualmente esplicite o erotiche, su internet ed in particolare sui social network, nel distribuirle con troppa leggerezza o anche semplicemente nel conservarle sui propri dispositivi.

Ma non mi trovo d'accordo con la prima parte dell'articolo, quella in cui si scrive che

alcuni tipi di software nocivi si nascondono a meraviglia nelle immagini JPG, al punto che ai criminali basta confezionare delle e-mail di spam con allegati piccanti, per invogliare il pollo-utente a un clic, giusto per darci un’occhiatina. In assenza di un antivirus adeguato, scatta l’infezione. 

Ritengo tale parte foriera di un eccessivo ed infondato allarmismo. 

Leggendo il testo da un lato sembra che il malware sia nascosto all'interno dell'immagine JPEG  dall'altro che il pericolo stia nel clic.

Concordo sul fatto che aprire mail provenienti da sconosciuti non sia prudente:
I meccanismi di infezione sono molteplici e i prodotti Microsoft sono sempre stati i più bersagliati. Questo è uno dei principali motivi per cui i sistemi operativi Microsoft ci annoiano continuamente con gli aggiornamenti di sistema

Se installassimo una versione base di Windows XP, senza installare gli svariati successivi aggiornamenti e service pack, potrebbe bastare l'anteprima di un messaggio in Outlook Express per essere infettati.

Questa vulnerabilità come tante altre è stata corretta.

Un tipo di vulnerabilità, detta buffer overflow, riguardava anche i file JPEG. Ma questo problema è stato patchato (ossia ci sono stati degli aggiornamenti che hanno corretto la vulnerabilità) alla fine del 2004.

Il pericolo maggiore è quello di aprire collegamenti esterni, che siano essi raggiungibili tramite un link di testo o cliccando su di una immagine. Il pericolo di aprire l'immagine in se credo sia sicuramente limitato e comunque molto minore rispetto al rischio dell'apertura di un collegamento esterno.

E' recente ad esempio la notizia del seguente exploit (IrfanView TIF Image Decompression Buffer Overflow Vulnerability) che coinvolge uno specifico software, IrfanView, nell'aperture di file TIFF compressi con JPEG.

Ritornando all'articolo oggetto di questo post, oltre a non riportare fonti relative a quanto asserito nella prima parte, in esso si parla del trojan  Win32/DataStealer (questo è il nome che gli viene dato da ESET, altri produttori di antivirus gli danno altri nomi). Nell'articolo relativo sul sito eset.com si parla di questo trojan ricordando che è stato scoperto da Trend Micro, che gli ha dato il nome di Pixsteal-A-Trojan (sul stito della Trend Micro io l'ho trovato come TSPY_PIXSTEAL.A).

Eset e Trend Micro hanno posto la loro attenzione su questo trojan per la sua particolarità di avere come target specifico il trasferimento di una copia delle immagini del PC infetto su di un sito esterno ftp.

Questo malware è programmato per trasmettere su di un sito ftp fino a 20000 file utente, in gran parte immagini. Ricordiamoci a questo proposito che spesso usiamo fare delle foto o degli screenshot di codici e altri documenti.

Ricapitolando questo trojan non si propaga tramite immagini JPEG, tali immagini vengono piuttosto rubate dal PC infetto.Come tutti i  trojan viene quasi sempre installato inconsapevolmente dall'utente che crede di installare un aggiornamento o un altro tipo di programma oppure viene scaricato (dropped in inglese) da altro malware che precedentemente ha infettato il PC.
La sua diffusione è inoltre piuttosto limitata.

Concludendo: il pericolo non è quello di infettarsi guardando una foto ma quello che proprie immagini contenenti foto private, o addirittura intime e sessualmente esplicite, o anche informazioni personali arrivino nelle mani su di un sito pornografico o nelle mani di un hacker. Non c'è invece nessun particolare pericolo di infettarsi aprendo una foto se non eventualmente aprendo un link che punta ad un sito malevolo (rischio comunque sempre presente nella navigazione internet soprattutto quando si cercano file collegati al mondo della pirateria).

Ad ogni modo è opportuno l'uso di un buon antivirus, anche gratuito, e tanta prudenza nell'aprire le e-mail da sconosciuti, ma anche se vengono da mittenti noti e ci sembrano in qualche modo strane (ad esempio in inglese da chi vi scrive sempre in italiano, oppure se vi mandano un qualche allegato che non avete mai richiesto). Ovviamente raccomando tanta prudenza nel visitare tutti i site web di cui non conoscete per certa l'affidabilità.


Fonti / Link:
Malware Steals Image Files from Systems(Trend Micro Blog)
http://about-threats.trendmicro.com/us/malware/TSPY_PIXSTEAL.A
http://blog.eset.com/2012/11/12/digital-photos-demand-a-second-look-as-picture-stealing-threat-appears
http://www.tech-recipes.com/rx/690/jpeg-jpg-exploit-looking-at-picture-installs-spyware-and-viruses/
http://technet.microsoft.com/en-us/security/bulletin/ms04-028
http://it.wikipedia.org/wiki/Buffer_overflow
http://it.wikipedia.org/wiki/Exploit