¿Puede un virus realmente vivir como un JPG, un GIF, un MP3 u otro archivo aparentemente seguro? ¿Cómo?

Es muy común que un archivo ejecutable se disfrace como JPEG, etc.
En Windows, el sistema oculta de manera predeterminada las extensiones para que IMG001.JPG.exe pueda aparecer ante un usuario como IMG001.JPG, mientras que el sistema lo trata como ejecutable y lo ejecutará al hacer doble clic, no abrir un visor de imágenes.
A veces, el sistema buscará dentro de un archivo la información del encabezado. En un momento, el reproductor multimedia de Windows haría esto, de modo que si el explorador de archivos pasara malware.wmv al reproductor, el reproductor diría “hey, este es un programa. Ejecútelo”, en ese momento eludiendo la seguridad de Windows ( no solicitó al usuario una contraseña de administrador).
También es perfectamente posible ocultar ejecutables dentro de un archivo de imagen real, que puede contener metadatos arbitrarios, por ejemplo. El truco es pasar el control a la sección ejecutable: el archivo normalmente sería manejado por una aplicación, no ejecutado. Si el archivo de imagen se crea con datos mal formados a propósito, podría ser posible engañar a la aplicación para que pase el control, como a través de una explotación de desbordamiento de búfer.