Exploit gedetecteerd dat een winrar-fout gebruikt om achterdeur te installeren

Onderzoekers van Check Pont hebben de leiding gehad over het ontdekken van een bug in WinRAR. Een uitspraak die al bijna twee decennia bestaat. Het is afkomstig van een oude DLL uit 2006, die niet over de nodige beschermingsmechanismen beschikte. Als gevolg van deze storing lopen er mogelijk ongeveer 500 miljoen gebruikers risico. Deze week werd de eerste exploit gedetecteerd, die werd verzonden via een e-mail met een RAR-bestand als bijlage.

Exploit ontdekte dat WinRAR er niet in slaagt een achterdeur te installeren

De specifieke fout ligt in een bibliotheek van derden genaamd UNACEV2.DLL. Als maatstaf is een bèta gelanceerd waarin deze wordt verwijderd. ACE-bestanden op deze manier niet worden ondersteund.

Mogelijk de eerste malware die via e-mail is geleverd om het WinRAR-beveiligingslek te misbruiken. De achterdeur wordt gegenereerd door Artsen zonder Grenzen en naar de globale opstartmap geschreven door WinRAR als UAC is uitgeschakeld.

IOC:

hxxp: //138.204.171.108/BxjL5iKld8.zip

138.204.171.108:443 pic.twitter.com/WpJVDaGq3D

- RedDrip-team (@ RedDrip7) 25 februari 2019

WinRAR crash

Gisteren werd de eerste exploit ontdekt die probeert een achterdeur in een geïnfecteerde computer te implanteren. Het lijkt dus de eerste te zijn die van deze bug in WinRAR wil profiteren. Hoewel dit niet betekent dat er geen andere zijn, zijn die nog niet ontdekt. Toen ze het bovengenoemde bijgevoegde RAR-bestand, waarover we eerder hebben gesproken, hebben onderzocht, is gebleken dat er is geprobeerd een bestand uit te pakken in de map C: \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs \ Startup \.

Wanneer dit gebeurt, wordt het bestand gekopieerd naar% Temp% \ en vervolgens wordt het bestand wbssrv.exe uitgevoerd, zoals de onderzoekers hebben gezegd. Zodra de schadelijke code is uitgevoerd, wordt de Cobalt Strike Beacon DLL, die door cybercriminelen wordt gebruikt om op afstand toegang te krijgen tot computers, gedownload.

Gebruikers wordt aangeraden om bij te werken naar de nieuwste versie van WinRAR, die het bedrijf al op het internet beschikbaar heeft gesteld. Om het te downloaden, moet u deze link invoeren.

Het Hacker News-lettertype