Exploração detectada que usa uma falha do winrar para instalar o backdoor

Os investigadores da Check Pont foram responsáveis ​​por descobrir um bug no WinRAR. Uma decisão que está presente há quase duas décadas. É originário de uma antiga DLL de 2006, que não possuía os mecanismos de proteção necessários. Devido a essa falha, pode haver cerca de 500 milhões de usuários em risco. Esta semana, a primeira exploração foi detectada, que foi enviada por um email que incluía um arquivo RAR como anexo.

Exploração detectada que explora a falha do WinRAR ao instalar um backdoor

A falha específica está em uma biblioteca de terceiros chamada UNACEV2.DLL. Como medida, uma versão beta foi lançada na qual é removida. Falha ao suportar arquivos ACE dessa maneira.

Possivelmente, o primeiro malware entregue por email para explorar a vulnerabilidade do WinRAR. O backdoor é gerado pelo MSF e gravado na pasta de inicialização global pelo WinRAR se o UAC estiver desativado.

COI:

hxxp: //138.204.171.108/BxjL5iKld8.zip

Replying to @Botafogo @botafogooficial

- RedDrip Team (@ RedDrip7) 25 de fevereiro de 2019

Falha no WinRAR

Ontem, foi detectada a primeira exploração que tenta implantar um backdoor em um computador infectado. Portanto, parece ser o primeiro a querer tirar vantagem desse bug no WinRAR. Embora isso não signifique que não haja outros, ainda não foram descobertos. Quando eles examinaram o arquivo RAR anexado acima mencionado, sobre o qual falamos anteriormente, foi observado que foi feita uma tentativa de extrair um arquivo na pasta C: \ ProgramData \ Microsoft \ Windows \ Menu Iniciar \ Programas \ Startup \.

Quando isso acontece, o arquivo é copiado para% Temp% \ e, em seguida, o arquivo wbssrv.exe é executado, como disseram os pesquisadores. Depois que o código malicioso é executado, é baixada a DLL do Cobalt Strike Beacon, usada pelos cibercriminosos para acessar remotamente os computadores.

Recomenda-se aos usuários que atualizem para a versão mais recente do WinRAR, que a empresa já disponibilizou na web. Para fazer o download, você deve inserir este link.

The Hacker News Font