Exploit détecté qui utilise un échec de winrar pour installer la porte dérobée

Les enquêteurs de Check Pont ont été chargés de découvrir un bogue dans WinRAR. Une décision qui existe depuis près de deux décennies. Il provient d'une ancienne DLL de 2006, qui ne disposait pas des mécanismes de protection nécessaires. En raison de cet échec, il pourrait y avoir quelque 500 millions d'utilisateurs à risque. Cette semaine, le premier exploit a été détecté, qui a été envoyé par e-mail contenant un fichier RAR en pièce jointe.

Exploit détecté qui exploite l'échec de WinRAR pour installer une porte dérobée

L'échec spécifique réside dans une bibliothèque tierce appelée UNACEV2.DLL. À titre de mesure, une version bêta a été lancée dans laquelle elle est supprimée. Ne pas prendre en charge les fichiers ACE de cette manière.

Peut-être le premier malware livré par courrier à exploiter la vulnérabilité WinRAR. La porte dérobée est générée par MSF et écrite dans le dossier de démarrage global par WinRAR si l'UAC est désactivé. Https: //t.co/bK0ngP2nIy

CIO:

hxxp: //138.204.171.108/BxjL5iKld8.zip

138.204.171.108:443 pic.twitter.com/WpJVDaGq3D

- RedDrip Team (@ RedDrip7) 25 février 2019

Crash de WinRAR

Hier, le premier exploit qui tente d'implanter une porte dérobée dans un ordinateur infecté a été détecté. Il semble donc être le premier à vouloir profiter de ce bogue dans WinRAR. Bien que cela ne signifie pas qu'il n'y en a pas d'autres, cela n'a pas encore été découvert. Lorsqu'ils ont examiné le fichier RAR ci-dessus joint, dont nous avons déjà parlé, il a été constaté qu'une tentative d'extrait d'un fichier dans le dossier C: \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs \ Startup \ a été constatée.

Lorsque cela se produit, le fichier est copié dans% Temp% \ puis le fichier wbssrv.exe est exécuté, comme l'ont dit les chercheurs. Une fois le code malveillant exécuté, la DLL Cobalt Strike Beacon, qui est utilisée par les cybercriminels pour accéder à distance aux ordinateurs, est téléchargée.

Il est recommandé aux utilisateurs de mettre à jour la dernière version de WinRAR, que la société a déjà mise à disposition sur le Web. Pour le télécharger, vous devez entrer ce lien.

The Hacker News Font