A Threat Actor kihasználja a nulladik napot a WinRAR-ban, hogy megcélozza a kriptofiókokat

A Threat Actor kihasználja a nulladik napot a WinRAR-ban, hogy megcélozza a kriptofiókokat

Időbélyeg: 23. augusztus 2023. 5:15
Threat Actor Exploits Zero-Day in WinRAR to Target Crypto Accounts PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Az orosz pénzügyileg motivált Evilnum csoporttal valószínűleg kapcsolatban álló fenyegetett szereplő a népszerű WinRAR fájltömörítő és archiváló segédprogram most kijavított hibáján keresztül célozza meg a felhasználókat az online kriptovaluta kereskedési fórumokon.

A CVE-2023-38831 néven nyomon követett hiba lehetővé tette a támadók számára, hogy rosszindulatú kódokat rejtsenek el „.jpg”, „.txt” és más formátumú zip-archívumokba, majd terjeszthessék azokat online kriptovaluta kereskedési fórumokon.

Hónapokig tartó kampány

A támadások legalább április óta tartanak – körülbelül három hónappal azelőtt, hogy a Group-IB kutatói felfedezték a sebezhetőséget, és jelentették azt a Rarlabnak, a WinRAR-t fejlesztő és forgalmazó cégnek.

A Rarlab július 20-án kiadott egy béta javítást a problémához, és a WinRAR frissített verzióját (6.23-as verzió) augusztus 2-án. Ennek ellenére a fórumokon legalább 130 rendszer fertőzött marad, Az IB csoport egy e heti jelentésében. A biztonsági gyártó arra szólította fel a WinRAR-felhasználókat – jelenleg 500 millióra becsülik –, hogy azonnal telepítsék az új verziót, hogy csökkentsék a sebezhetőséget célzó támadásoknak való kitettségüket.

A Group-IB kutatói felfedezték a WinRAR akkori nulladik napi sebezhetőségét, amikor a DarkMe-vel kapcsolatos fenyegetési tevékenységet vizsgálták, egy távoli hozzáférésű trójai, amely biztonsági gyártó. Az NSFocust először tavaly fedezték fel és Evilnumnak tulajdonították. A rosszindulatú program számos funkciót tartalmaz a célpontok utáni kémkedéshez vagy más rosszindulatú programok betöltőjeként való használatra. Az NSFocus megfigyelte, hogy az Evilnum csoport a DarkMe-t olyan támadásokban alkalmazta, amelyek több országban online kaszinókat és kereskedési platformokat céloztak meg.

A Group-IB által talált sebezhetőség abból fakad, hogy a WinRAR hogyan dolgozza fel a zip fájlformátumot. Lényegében módot adott a támadóknak arra, hogy különféle típusú rosszindulatú programokat rejtsenek el a zip archívumokban, és terjesszék el azokat a célrendszereken. Az IB csoport kutatói megfigyelték, hogy a fenyegető szereplő legalább három rosszindulatú programcsaládot szállított így: DarkMe, GuLoaderés Remcos RAT.

A fenyegetettség szereplője ezután legalább nyolc nyilvános fórumon terjesztette a fegyveres zip-archívumot, amelyeket az online kereskedők rendszeresen használnak információk megosztására és kölcsönös érdeklődésre számot tartó témák megvitatására.

Fegyverzett Zip Archívum

A legtöbb esetben az ellenfél a rosszindulatú programokkal feltöltött zip-archívumot egy fórumbejegyzéshez vagy a többi fórumtagnak küldött privát üzenetben csatolta. A hozzászólások témája általában olyan volt, ami felkeltette a fórumtagok figyelmét. Például az egyik bejegyzésben a fenyegetőző azt állította, hogy a legjobb személyes stratégiáját kínálja a bitcoinnal való kereskedéshez, és ehhez a bejegyzéshez csatolta a rosszindulatú zip archívumot. A Group-IB azt is megfigyelte, hogy a fenyegetés szereplői hozzáférnek a fórumfiókokhoz, és beillesztik rosszindulatú programjaikat a meglévő vitaszálakba.

Néhány esetben a támadó a zip-archívumot a catbox.moe nevű ingyenes fájltároló szolgáltatáson keresztül terjesztette.

Miután telepítették a rendszerre, a rosszindulatú program hozzáfért az áldozat kereskedési számláihoz, és jogosulatlan tranzakciókat hajtott végre, hogy pénzt vonjon ki onnan.

Néhány alkalommal a fórum adminisztrátorai tudomást szereztek a webhelyeiken keresztül terjesztett rosszindulatú fájlokról, és megpróbálták figyelmeztetni a tagokat a fenyegetésre. E figyelmeztetések ellenére a fenyegetettség szereplője továbbra is rosszindulatú mellékletekkel posztolt a fórumon. „Kutatóink arra is bizonyítékot láttak, hogy a fenyegetés szereplői képesek voltak feloldani a fórum adminisztrátorai által letiltott fiókok blokkolását, hogy tovább terjeszthessék a rosszindulatú fájlokat, akár fenyegetésekkel, akár privát üzenetekkel” – mondta a Group-IB.

A biztonsági gyártó szerint míg a DarkMe trójai azt sugallja, hogy az Evilnum kapcsolatban áll a kampánysal, maga a Group-IB nem tudta egyértelműen a fenyegetéscsoportnak tulajdonítani a WinRAR támadásokat.

Időbélyeg:

Még több Sötét olvasmány