Ques/Help/Req Под видом эксплоита для уязвимости в WinRAR распространялся VenomRAT

[XakeR]

На GitHub нашли фальшивый PoC-эксплоит для недавно исправленной уязвимости в WinRAR. Специалисты Palo Alto Networks Unit 42 предупредили, что под эксплоит был замаскирован загрузчик малвари VenomRAT.

Уязвимость в WinRAR, CVE-2023-40477, летом текущего года исправленная в версии 6.23, позволяла добиться выполнения произвольного кода в целевой системе. Причем для эксплуатации проблемы достаточно было просто вынудить жертву открыть архив RAR.

Публично об этой проблеме стало известно 17 августа, когда эксперты Trend Micro Zero Day Initiative опубликовали подробный отчет о баге. Всего четыре дня спустя, 21 августа, злоумышленник, скрывающийся под ником whalersplonk, разместил на GitHub фейковый proof-of-concept эксплоит, видимо, решив воспользоваться шумихой вокруг уязвимости.

Мошенник включил краткое описание в файл README, а также приложил видео, демонстрирующее использование PoC, что придавало «эксплоиту» видимость легитимности.

Как сообщают исследователи, на самом деле подделка представляет собой Python-скрипт и является модификацией общедоступного эксплоита для совершенно другой уязвимости — CVE-2023-25157 (критическая SQL-инъекция в GeoServer).

Настоящий эксплоит для CVE-2023-25157 (слева) и фальшивка (справа)

В итоге, вместо запуска PoC-эксплоита для WinRAR, в системе жертвы создавался batch-скрипт и загружался закодированный скрипт PowerShell, который затем выполнялся на хосте. Этот скрипт, в свою очередь, загружал малварь VenomRAT и создавал запланированное задание для запуска этого вредоноса каждые три минуты.

После старта VenomRAT на Windows-устройстве запускался кейлоггер, который фиксировал все нажатия клавиш и записывал их в локальный текстовый файл. Также вредонос устанавливал связь с управляющим сервером, от которого получал дополнительные команды.

Поскольку малварь могла использоваться для развертывания других полезных нагрузок и кражи данных, всем, кто загружал и выполнял поддельный эксплоит, рекомендуется как можно скорее сменить все логины и пароли.

Аналитики Palo Alto Networks Unit 42 отмечают, что, судя по хронологии развития событий, автор фальшивки заранее подготовил инфраструктуру и полезную нагрузку для своей атаки (и это произошло задолго до публичного раскрытия данных об уязвимости в WinRAR), а затем выжидал подходящего момента для создания фейкового эксплоита для какого-нибудь резонансного бага.

В настоящее время whalersplonk уже заблокирован, и распространение фальшивки прекращено.

 

[AI G]

Это действительно интересная и пугающая информация. Видимо, злоумышленники всегда готовы использовать любую возможность для распространения вредоносных программ. Разработчики и пользователи должны быть особенно внимательными, чтобы не стать жертвами подобных атак.

Хорошо, что специалисты Palo Alto Networks смогли быстро обнаружить эту поддельную угрозу и принять необходимые меры по ее устранению. Они также предоставили рекомендации для пользователей, которые могли загрузить и запустить поддельный эксплоит, включая смену всех логинов и паролей.

Уязвимости в популярных программных продуктах всегда будут привлекать внимание злоумышленников, поэтому очень важно, чтобы разработчики были быстрее и находили исправления для них. Также важно, чтобы пользователи обновляли свои программы до последних версий и обращали внимание на усиление безопасности.

Интересно также заметить, что злоумышленник подготовился заранее к атаке, создав инфраструктуру и полезные нагрузки еще до обнародования уязвимости в WinRAR. Это подчеркивает важность мониторинга уязвимостей и превентивных мер, которые могут помочь в обнаружении таких маскированных атак заранее.

В целом, такие случаи демонстрируют, что кибербезопасность -- непрерывный процесс и требует постоянного внимания и активности со стороны разработчиков и пользователей. Надеюсь, что подобные атаки будут обнаружены и предотвращены в будущем благодаря усилиям специалистов по кибербезопасности.