Hyödynnä havaittu, joka käyttää takaoven asentamiseen winrar-virhettä

Check Pontin tutkijat ovat olleet vastuussa virheen löytämisestä WinRARissa. Päätös, joka on ollut läsnä lähes kaksi vuosikymmentä. Se on peräisin vanhasta vuodesta 2006 lähtien DLL-tiedostosta, jolla ei ollut tarvittavia suojausmekanismeja. Tämän epäonnistumisen vuoksi vaarassa voi olla noin 500 miljoonaa käyttäjää. Tällä viikolla havaittiin ensimmäinen hyväksikäyttö, joka lähetettiin sähköpostitse, joka sisälsi liitteenä RAR-tiedoston.

Exploit havaittu, joka hyödyntää WinRAR-virhettä takaoven asentamisessa

Erityinen vika on kolmannen osapuolen kirjastossa, nimeltään UNACEV2.DLL. Menetelmänä on julkaistu beeta, josta se poistetaan. ACE-tiedostojen tukeminen tällä tavalla ei onnistu.

Mahdollisesti ensimmäinen sähköpostitse toimitettu haittaohjelma WinRAR-haavoittuvuuden hyödyntämiseksi. Takaovi luodaan MSF: n ja WinRAR kirjoittaa sen globaaliin käynnistyskansioon, jos UAC on kytketty pois päältä.https: //t.co/bK0ngP2nIy

KOK:

hxxp: //138.204.171.108/BxjL5iKld8.zip

138.204.171.108:443 pic.twitter.com/WpJVDaGq3D

- RedDrip-tiimi (@ RedDrip7) 25. helmikuuta 2019

WinRAR-kaatuminen

Eilen havaittiin ensimmäinen hyväksikäyttö, joka yrittää implantoida takaoven tartunnan saaneeseen tietokoneeseen. Joten se näyttää olevan ensimmäinen, joka haluaa hyödyntää tätä virhettä WinRARissa. Vaikka tämä ei tarkoita, ettei muita ole, niitä ei ole vielä löydetty. Kun he ovat tutkineet edellä mainitun liitteenä olevan RAR-tiedoston, josta olemme puhuneet aiemmin, on nähty, että tiedosto yritettiin purkaa C: \ ProgramData \ Microsoft \ Windows \ Käynnistä-valikko \ Ohjelmat \ Käynnistys \ -kansioon.

Kun näin tapahtuu, tiedosto kopioidaan tiedostoon% Temp% \ ja sitten suoritetaan wbssrv.exe-tiedosto, kuten tutkijat ovat todenneet. Kun haittakoodi on suoritettu, Cobalt Strike Beacon DLL, jota verkkorikolliset käyttävät tietokoneiden etäkäyttöön, ladataan.

Käyttäjiä suositellaan päivittämään uusimpaan WinRAR-versioon, jonka yritys on jo asettanut saataville verkossa. Ladataksesi sinun täytyy kirjoittaa tämä linkki.

Hacker News -fontti