Pengeksploitasian mengesan yang menggunakan kegagalan winrar untuk memasang backdoor

Penyiasat dari Check Pont bertanggungjawab untuk menemui bug di WinRAR. Satu keputusan yang telah wujud selama hampir dua dekad. Ia berasal dari DLL lama dari tahun 2006, yang tidak mempunyai mekanisme perlindungan yang diperlukan. Oleh kerana kegagalan ini, terdapat kira-kira 500 juta pengguna yang berisiko. Minggu ini eksploitasi pertama dikesan, yang dihantar melalui e-mel yang termasuk fail RAR sebagai lampiran.

Pengekspeksi mengesan bahawa kegagalan WinRAR untuk memasang pintu belakang

Kegagalan khusus terletak pada pustaka pihak ketiga yang dipanggil UNACEV2.DLL. Sebagai langkah, beta telah dilancarkan di mana ia dikeluarkan. Gagal menyokong fail ACE dengan cara ini.

Mungkin malware pertama dihantar melalui mel untuk mengeksploitasi kelemahan WinRAR. Backdoor dihasilkan oleh MSF dan ditulis ke folder permulaan global oleh WinRAR jika UAC dimatikan.https: //t.co/bK0ngP2nIy

IOC:

hxxp: //138.204.171.108/BxjL5iKld8.zip

138.204.171.108:443 pic.twitter.com/WpJVDaGq3D

- RedDrip Team (@ RedDrip7) 25 Februari 2019

Kemalangan WinRAR

Semalam eksploit pertama yang cuba memasang implan belakang di komputer yang dijangkiti telah dikesan. Jadi nampaknya yang pertama yang ingin memanfaatkan bug ini di WinRAR. Walaupun ini tidak bermakna bahawa tidak ada yang lain, yang belum ditemui. Apabila mereka telah mengkaji fail RAR yang dilampirkan tadi, yang telah kita bicarakan sebelum ini, telah dilihat bahawa percubaan dibuat untuk mengekstrak fail dalam folder C: \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs \ Startup \.

Apabila ini berlaku, fail disalin ke% Temp% \ dan kemudian fail wbssrv.exe dijalankan, seperti yang telah diteliti para penyelidik. Apabila kod berniat jahat dijalankan, Cobalt Strike Beacon DLL, yang digunakan oleh penjenayah siber untuk mengakses komputer jauh, dimuat turun.

Pengguna disyorkan untuk mengemaskini kepada versi terkini WinRAR, yang mana syarikat itu telah tersedia di web. Untuk memuat turunnya, anda perlu memasukkan pautan ini.

The Font Hacker News