Eksploitasi terdeteksi yang menggunakan kegagalan winrar untuk menginstal backdoor

Investigator dari Check Pont bertanggung jawab atas menemukan bug di WinRAR. Sebuah keputusan yang telah ada selama hampir dua dekade. Itu berasal dari DLL lama dari 2006, yang tidak memiliki mekanisme perlindungan yang diperlukan. Karena kegagalan ini, mungkin ada sekitar 500 juta pengguna yang berisiko. Minggu ini exploit pertama terdeteksi, yang dikirim melalui email yang menyertakan file RAR sebagai lampiran.

Exploit terdeteksi yang mengeksploitasi kegagalan WinRAR untuk menginstal backdoor

Kegagalan spesifik terletak di perpustakaan pihak ketiga yang disebut UNACEV2.DLL. Sebagai ukuran, beta telah diluncurkan untuk menghapusnya. Gagal mendukung file ACE dengan cara ini.

Mungkin malware pertama yang dikirim melalui surat untuk mengeksploitasi kerentanan WinRAR. Backdoor dihasilkan oleh MSF dan ditulis ke folder startup global oleh WinRAR jika UAC dimatikan.https: //t.co/bK0ngP2nIy

IOC:

hxxp: //138.204.171.108/BxjL5iKld8.zip

138.204.171.108:443 pic.twitter.com/WpJVDaGq3D

- Tim RedDrip (@ RedDrip7) 25 Februari 2019

Kerusakan WinRAR

Kemarin eksploitasi pertama yang mencoba menanamkan backdoor di komputer yang terinfeksi terdeteksi. Jadi sepertinya menjadi yang pertama yang ingin memanfaatkan bug ini di WinRAR. Meskipun ini tidak berarti bahwa tidak ada yang lain, yang belum ditemukan. Ketika mereka telah memeriksa file RAR terlampir yang disebutkan di atas, yang telah kita bicarakan sebelumnya, telah terlihat bahwa upaya dilakukan untuk mengekstrak file dalam folder C: \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs \ Startup \.

Ketika ini terjadi, file tersebut disalin ke% Temp% \ dan kemudian file wbssrv.exe dijalankan, seperti yang dikatakan para peneliti. Setelah kode jahat dijalankan, Cobalt Strike Beacon DLL, yang digunakan oleh penjahat cyber untuk mengakses komputer dari jarak jauh, diunduh.

Pengguna disarankan untuk memperbarui ke versi terbaru WinRAR, yang telah disediakan perusahaan di web. Untuk mengunduhnya, Anda harus memasukkan tautan ini.

Font Berita Peretas