零日攻击利用 WinRAR 安全漏洞锁定交易者
2023-8-25 14:55:41 Author: hackernews.cc(查看原文) 阅读量:36 收藏

1692931968_64e81780aec1ffdb44e00

Group-IB 的最新发现显示,自 2023 年 4 月以来, WinRAR 压缩软件中一个最近修补的安全漏洞已被利用为零日漏洞。

该漏洞被标记为 CVE-2023-38831,允许威胁者仿用文件扩展名,从而在伪装成看似无害的图像或文本文件的压缩包中启动恶意脚本。2023 年 8 月 2 日发布的 6.23 版本修补了这一漏洞,同时修复的还有 CVE-2023-40477。

在新加坡公司于 2023 年 7 月发现的攻击中,通过 Forex Station 等交易相关论坛分发的特制 ZIP 或 RAR 压缩文件被用于传播 DarkMe、GuLoader 和 Remcos RAT 等多种恶意软件。

Group-IB 恶意软件分析师安德烈-波罗文金(Andrey Polovinkin)说:在感染设备后,网络犯罪分子会从经纪人账户中提取资金。目前尚不清楚受害者总人数和由此造成的经济损失。

诱杀压缩文件的创建方式是包含一个图像文件和一个同名文件夹。1692932000_64e817a024db925ec1864

因此,当受害者点击图片时,文件夹中的批处理脚本就会被执行,然后用于启动下一阶段,即用于提取和启动其他文件的 SFX CAB 存档。与此同时,脚本还会加载诱饵图片,以免引起怀疑。

波罗文金告诉《黑客新闻》:CVE-2023-38831 是由于在打开 ZIP 压缩包中的文件时出现处理错误造成的。武器化的 ZIP 压缩包已在至少 8 个流行的交易论坛上传播,因此受害者的地理位置非常广泛,攻击并不针对特定的国家或行业。

目前还不知道谁是利用 WinRAR 漏洞进行攻击的幕后黑手。尽管如此,DarkMe 是一种 Visual Basic 木马,归属于 EvilNum 组织,NSFOCUS 于 2022 年 9 月首次记录到它与一个代号为 DarkCasino 的针对欧洲在线赌博和交易服务的网络钓鱼活动有关。

同样使用这种手段传播的还有一种名为 GuLoader(又名 CloudEye)的恶意软件,它随后会尝试从远程服务器获取 Remcos RAT。

Polovinkin 说:最近利用 CVE-2023-38831 的案例提醒我们,与软件漏洞相关的风险始终存在。攻击者手段资源丰富,他们总能找到新的方法来发现并利用漏洞。


转自Freebuf,原文链接:https://www.freebuf.com/news/376183.html

封面来源于网络,如有侵权请联系删除


文章来源: https://hackernews.cc/archives/45320
如有侵权请联系:admin#unsafe.sh