Sajber-kriminalci koriste novu staru ranjivost u WinRaru za infekciju Windows računara

Vesti, 28.02.2019, 00:00 AM

Sajber-kriminalci koriste novu staru ranjivost u WinRaru za infekciju Windows računara

Istraživači 360 Threat Intelligence Centra otkrili su spam kampanju koja distribuira maliciozni RAR fajl i koja bi mogla biti prva koja koristi novootkrivenu ACE ranjivost u WinRAR-u za instaliranje malvera na računarima žrtava.

Prošle nedelje, Checkpoint je objavio detalje o 19 godina staroj ranjivost u biblioteci WinRAR-a UNACEV2.DLL koja omogućava specijalno napravljenoj ACE arhivi da ekstrahuje fajl u Windows Startup folderu. Ovo omogućava izvršnom fajlu da se automatski pokreće kada se Windows ponovo pokrene.

Kako programeri WinRAR-a više nemaju pristup izvornom kodu navedene biblioteke UNACEV2.DLL, oni nisu mogli da isprave grešku, pa su uklonili podršku za DLL i ACE iz najnovije verzije WinRAR-a 5.70 beta 1. Iako je ovim ispravljena greška, takođe je uklonjena podrška za ACE format iz WinRAR-a.

Nažalost, to nije od pomoći za oko 500 miliona korisnika koji su instalirali WinRAR na svojim računarima i to je ono na šta računaju autori malvera.

Istraživači 360 Threat Intelligence Centra su na Twitteru objavili da su otkrili emailove putem kojih se distribuira RAR arhiva koja će, kada je ekstrahovana, zaraziti računar backdoorom.

Ako se UAC pokrene kada pokušate da ekstrahujete arhivu, malver neće uspeti da se smesti u folder C:ProgramData jer nema dozvola za to. To će dovesti do toga da WinRAR prikaže poruci o grešci u kojoj se kaže “Pristup je odbijen” ili “operacija nije uspela”.

Ako je UAC onemogućen ili WinRAR pokrenut sa administratorskim privilegijama malver će se instalirati u C:ProgramDataMicrosoftWindowsStart MenuProgramsStartupCMSTray.exe.

Sada kada je CMSTray.exe ekstrahovan u Startup folderu, prilikom sledećeg prijavljivanja će se pokrenuti izvršni fajl. Kada se pokrene, CMSTray.exe se kopira u %Temp%wbssrv.exe i fajl wbssrv.exe će biti pokrenut.

Kada se pokrene, malver će se povezati na http://138.204.171.108/ i preuzeti različite fajlove, uključujući Cobalt Strike Beacon DLL. Cobalt Strike Beacon je alat za penetraciono testiranje koji koriste i sajber-kriminalci takođe za dobijanje daljinskog pristupa kompjuteru.

Kada se DLL učita, napadači će moći da daljinski pristupe vašem računaru, izvršavaju komande i šire se na druge računare na vašoj mreži.

Budući da se očekuje da će i drugi malveri pokušati da iskoriste ovu ranjivost, važno je da preuzmete najnoviju verziju WinRAR-a.

Ako iz nekog razloga ne možete da nadogradite WinRAR, onda možete iskoristiti WinRAR micropatch 0Patcha za ovu WinRAR ranjivost. Ova će popraviti ranjivost u svim 32-bitnim i 64-bitnim verzijama WinRAR-a koje koriste UNACEV2.DLL od 2005. godine.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Zašto se zakrpljena ranjivost u WinRaru i dalje iskorišćava za napade

Zašto se zakrpljena ranjivost u WinRaru i dalje iskorišćava za napade

Različite kriminalne grupe i hakeri još uvek iskorišćavaju nedavno zakrpljenu kritičnu ranjivost u WinRAR-u, popularnoj aplikaciji za kompresiju ... Dalje

Huawei spreman da odustane od Androida i Windowsa ako bude zabranjen u SAD

Huawei spreman da odustane od Androida i Windowsa ako bude zabranjen u SAD

Huawei se suočava sa sve većim pritiskom Sjedinjenih Država i njihovih saveznika koje optužuju kompaniju da špijunira za kinesku vladu. Iako do ... Dalje

Dok su trajali problemi sa WhatsAppom i Messengerom, Telegram dobio 3 miliona novih korisnika

Dok su trajali problemi sa WhatsAppom i Messengerom, Telegram dobio 3 miliona novih korisnika

Korisnici iz celog sveta žalili su se ove nedelje na probleme sa slanjem poruka preko WhatsAppa i Messengera, objavama na Facebooku i pristupanjem dr... Dalje

Facebook: Tehnički problemi krivi za prekid u radu WhatsAppa, Messengera i Instagrama

Facebook: Tehnički problemi krivi za prekid u radu WhatsAppa, Messengera i Instagrama

Facebook je rekao da je "promena konfiguracije servera" kriva za najgori prekid u radu u njegovoj istoriji. Kompanija je objasnila da je to "pokrenulo... Dalje

Google uveo DuckDuckGo kao opciju za pretraživanje u Chromeu za više od 60 tržišta

Google uveo DuckDuckGo kao opciju za pretraživanje u Chromeu za više od 60 tržišta

U ažuriranju Chromium endžina, koji podupire Googleov popularni pregledač Chrome, Google je tiho ažurirao liste podrazumevanih pretraživača koje... Dalje