Napansin ang paggamit na gumagamit ng isang winrar pagkabigo upang mai-install ang backdoor

Ang mga investigator mula sa Check Pont ay namamahala sa pagtuklas ng isang bug sa WinRAR. Isang pagpapasya na naroroon sa halos dalawang dekada. Nagmula ito mula sa isang lumang DLL mula 2006, na walang kinakailangang mga mekanismo ng proteksyon. Dahil sa kabiguang ito, maaaring may mga 500 milyong mga gumagamit na nanganganib. Sa linggong ito ang unang pagsasamantala ay napansin, na ipinadala sa pamamagitan ng isang email na may kasamang isang RAR file bilang isang kalakip.

Nakita ang eksploit na sinasamantala ang kabiguan ng WinRAR na mag-install ng isang backdoor

Ang tiyak na kabiguan ay namamalagi sa isang library ng third-party na tinatawag na UNACEV2.DLL. Bilang isang panukala, isang beta ay inilunsad kung saan tinanggal ito. Ang pagkabigong suportahan ang mga file ng ACE sa ganitong paraan.

Posibleng ang unang malware na naihatid sa pamamagitan ng koreo upang mapagsamantalahan ang kahinaan ng WinRAR. Ang backdoor ay nabuo ng MSF at nakasulat sa pandaigdigang folder ng pagsisimula sa pamamagitan ng WinRAR kung naka-off ang UAC.https: //t.co/bK0ngP2nIy

IOC:

hxxp: //138.204.171.108/BxjL5iKld8.zip

138.204.171.108:443 pic.twitter.com/WpJVDaGq3D

- Pangkat ng RedDrip (@ RedDrip7) Pebrero 25, 2019

Pag-crash ng WinRAR

Kahapon ang unang pagsamantalahan na sumusubok na itanim ang isang backdoor sa isang nahawaang computer ay napansin. Kaya tila ito ang una na nais na samantalahin ang bug na ito sa WinRAR. Bagaman hindi ito nangangahulugan na walang iba, hindi pa ito natuklasan. Kapag sinuri nila ang nabanggit na nakalakip na RAR file, na napag-usapan namin noon, nakita na ang isang pagtatangka ay ginawa upang kunin ang isang file sa C: \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs \ Startup \ folder.

Kapag nangyari ito, ang file ay kinopya sa% Temp% \ at pagkatapos ay tumatakbo ang wbssrv.exe file, tulad ng sinabi ng mga mananaliksik. Kapag pinapatakbo ang malisyosong code, ang Cobalt Strike Beacon DLL, na ginagamit ng mga cybercriminals upang malayuan ang mga computer, mai-download.

Inirerekomenda ang mga gumagamit na i- update sa pinakabagong bersyon ng WinRAR, na magagamit ng kumpanya sa web. Upang i-download ito kailangan mong ipasok ang link na ito.

Ang Hacker News Font