Exploit hat festgestellt, dass bei der Installation von Backdoor ein WinRAR-Fehler auftritt

Die Ermittler von Check Pont waren dafür verantwortlich, einen Fehler in WinRAR zu entdecken. Eine Entscheidung, die seit fast zwei Jahrzehnten besteht. Es stammt aus einer alten DLL aus dem Jahr 2006, die nicht über die erforderlichen Schutzmechanismen verfügte. Aufgrund dieses Fehlers sind möglicherweise rund 500 Millionen Benutzer gefährdet. Diese Woche wurde der erste Exploit entdeckt, der über eine E-Mail gesendet wurde, die eine RAR-Datei als Anhang enthielt.

Exploit hat festgestellt, dass der WinRAR-Fehler beim Installieren einer Hintertür ausgenutzt wird

Der spezifische Fehler liegt in einer Drittanbieter-Bibliothek namens UNACEV2.DLL. Als Maßnahme wurde eine Beta gestartet, in der sie entfernt wird. ACE-Dateien werden auf diese Weise nicht unterstützt.

Möglicherweise die erste per E-Mail übermittelte Malware, die die WinRAR-Sicherheitsanfälligkeit ausnutzt. Die Hintertür wird von MSF generiert und von WinRAR in den globalen Startordner geschrieben, wenn die Benutzerkontensteuerung deaktiviert ist.https: //t.co/bK0ngP2nIy

IOC:

hxxp: //138.204.171.108/BxjL5iKld8.zip

138.204.171.108:443 pic.twitter.com/WpJVDaGq3D

- RedDrip-Team (@ RedDrip7) 25. Februar 2019

WinRAR-Absturz

Gestern wurde der erste Exploit entdeckt, der versucht, eine Hintertür in einen infizierten Computer zu implantieren. Es scheint also der erste zu sein, der diesen Fehler in WinRAR ausnutzen möchte. Obwohl dies nicht bedeutet, dass es keine anderen gibt, die noch nicht entdeckt wurden. Bei der Prüfung der oben genannten angehängten RAR-Datei, über die wir bereits gesprochen haben, wurde festgestellt, dass versucht wurde, eine Datei im Ordner C: \ ProgramData \ Microsoft \ Windows \ Startmenü \ Programme \ Startup \ zu extrahieren.

In diesem Fall wird die Datei nach% Temp% \ kopiert und anschließend die Datei wbssrv.exe ausgeführt, wie die Forscher gesagt haben. Sobald der Schadcode ausgeführt wurde, wird die Cobalt Strike Beacon-DLL heruntergeladen, mit der Cyberkriminelle remote auf Computer zugreifen.

Benutzern wird empfohlen, auf die neueste Version von WinRAR zu aktualisieren, die das Unternehmen bereits im Internet verfügbar gemacht hat. Um es herunterzuladen, müssen Sie diesen Link eingeben.

Die Hacker News Schriftart