Wykryto exploit wykorzystujący błąd winrar do zainstalowania backdoora

Detektywi z Check Pont byli odpowiedzialni za wykrycie błędu w WinRAR. Orzeczenie, które obowiązuje od prawie dwóch dekad. Pochodzi ze starej biblioteki DLL z 2006 roku, która nie posiadała niezbędnych mechanizmów ochronnych. Z powodu tej awarii zagrożonych może być około 500 milionów użytkowników. W tym tygodniu wykryto pierwszy exploit, który został wysłany za pośrednictwem wiadomości e-mail zawierającej plik RAR jako załącznik.

Wykryto exploit wykorzystujący błąd WinRAR do zainstalowania backdoora

Konkretna awaria leży w bibliotece innej firmy o nazwie UNACEV2.DLL. Jako środek uruchomiono wersję beta, w której została usunięta. Brak obsługi plików ACE w ten sposób.

Prawdopodobnie pierwsze złośliwe oprogramowanie dostarczane pocztą w celu wykorzystania luki WinRAR. Backdoor jest generowany przez MSF i zapisywany w globalnym folderze startowym przez WinRAR, jeśli UAC jest wyłączony.

MKOl:

hxxp: //138.204.171.108/BxjL5iKld8.zip

138.204.171.108:443 pic.twitter.com/WpJVDaGq3D

- RedDrip Team (@ RedDrip7) 25 lutego 2019 r

Awaria WinRAR

Wczoraj wykryto pierwszy exploit, który próbuje zaimplantować backdoora na zainfekowanym komputerze. Wydaje się, że jest to pierwszy, który chce skorzystać z tego błędu w WinRAR. Chociaż nie oznacza to, że nie ma innych, których jeszcze nie odkryto. Po zbadaniu wyżej wspomnianego załączonego pliku RAR, o którym mówiliśmy wcześniej, zauważono, że podjęto próbę wyodrębnienia pliku w folderze C: \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs \ Startup \.

Kiedy tak się dzieje, plik jest kopiowany do% Temp% \, a następnie uruchamiany jest plik wbssrv.exe, jak powiedzieli naukowcy. Po uruchomieniu szkodliwego kodu pobierana jest biblioteka DLL Cobalt Strike Beacon, która jest wykorzystywana przez cyberprzestępców do zdalnego dostępu do komputerów.

Użytkownikom zaleca się aktualizację do najnowszej wersji WinRAR, którą firma już udostępniła w Internecie. Aby go pobrać, musisz wprowadzić ten link.

Czcionka wiadomości hakera