Из-за дефекта Internet Explorer люди, посетившие веб-сайт злоумышленника и кликнувшие на картинке, могут, не подозревая об этом, занести в свой ПК вредоносную программу.

Независимый эксперт предупредил, что дефект Internet Explorer превращает механизм drag-and-drop в drag-and-infect - даже на компьютерах с последним обновлением Microsoft. Уязвимость проявляется в Internet Explorer из Windows XP даже после установки Service Pack 2 и позволяет атакующему занести свою программу в компьютер жертвы, заманив ее на свой веб-сайт и убедив кликнуть на изображении.

Программа злоумышленника будет помещена в папку Windows startup и выполнится при следующей перезагрузке системы. Обнаруживший ошибку эксперт, известный под псевдонимом http-equiv, приводит пример, демонстрирующий возможности, которые она открывает. "На веб-странице видны две красные линии и изображение; отбуксируйте изображение через обе линии и отпустите его, - пишет он. - На самом деле вы перенесли программу в свою папку startup. Она запустится, как только вы включите компьютер в следующий раз".

Компания Secunia утверждает, что эксплойт, использующий эту проблему, можно упростить еще больше, так что пользователю достаточно будет просто кликнуть на изображении. Secunia оценивает уязвимость как "высоко критическую" - это второй после самого высокого уровень опасности по ее шкале.

В Microsoft сказали, что проблема не представляет серьезной опасности для пользователей, так как атакующий должен заманить его на свой сайт и вынудить на активные действия. "Учитывая большое количество действий со стороны пользователя, необходимое для успешной атаки, Microsoft не считает это серьезным риском для заказчиков", - сказал представитель компании, добавив, что секьюрити-эксперты Microsoft продолжают изучать проблему.

Специалисты предсказывали, что в Windows XP Service Pack 2, или SP2, очень скоро обнаружатся уязвимости. Пока ошибка drag-and-drop - самая серьезная из всех, обнаруженных в обновленных компьютерах. Однако для большинства людей SP2 пока остается недоступным. Microsoft предупредила, что всем пользователям, желающим установить на свой компьютер выпущенное в прошлую среду обновление, сделать это удастся лишь в течение месяца.

Между тем http-equiv уверен, что усилия софтверного гиганта не пропали даром. "Патч действительно хорошо запирает машину, и если теперь что-нибудь и найдут, то это будет уже совсем не то, что всплывало в прошлом году", - заверил он.