WinRAR — один из самых популярных инструментов для сжатия файлов, которым пользуются более 500 миллионов человек по всему миру. К сожалению, это привело к тому, что миллионы пользователей стали потенциальными жертвами команды мошенников, которые использовали уязвимость нулевого дня в этом приложении. Специалисты по кибербезопасности обнаружили, что WinRAR активно использовался в мошеннических целях с апреля этого года. Однако есть и хорошие новости - RARLAB выпустила исправление для устранения этой уязвимости, поэтому всем владельцам WinRAR необходимо как можно быстрее обновить свой архиватор.
Сжатые архивы ZIP и RAR всегда были удобны для перемещения и хранения файлов, но они также облегчали распространение вредоносного ПО. У антивирусных приложений обычно возникают проблемы с просмотром этих архивов, а пользователи склонны открывать архивы, не проверяя файлы внутри. Злоумышленники, стоящие за вредоносным программным обеспечением DarkMe, смогли воспользоваться ранее неизвестной уязвимостью, чтобы обманом заставить людей установить на свои компьютеры вредоносное ПО, которое давало хакерам доступ к их онлайн-аккаунтам.
Компания Group IB, специализирующаяся на интернете безопасности, сообщила, что в рамках вредоносной кампании целевой аудиторией стали владельцы криптовалюты, которых атаковали через интернет-форумы. Мошенники скрывались под видом опытным пользователей и утверждали, что располагают полезной информацией для владельцев криптовалют. Затем в своих сообщениях распространяли зараженные ZIP-файлы и всех, кто пытался открыть их с помощью WinRAR, ждал неприятный сюрприз. Уязвимость, получившая обозначение CVE-2023-38831, позволяла злоумышленникам подделывать расширения файлов, превращая исполняемый вредоносный пакетный файл в файл JPEG или TXT. Поскольку эти файлы не содержат исполняемого кода, пользователи обычно считают их безобидными и без колебаний открывают их.
Одно из сообщений на форуме использовалось для распространения вредоносного ПО в ZIP-архивах. Источник: Group IB
Целью вредоносной атаки были пользовательские учетные данные, которые используются при покупке или продаже криптовалюты. После установки вредоносного программного обеспечения DarkMe, злоумышленники пытались перевести криптовалюту со скомпрометированных криптокошельков. Некоторые бдительные пользователи вовремя заметили попытки перевода и смогли сорвать планы злоумышленников, однако не всем так повезло. Администраторы некоторых форумов, на которых появились вредоносные архивы, узнали об этих мошеннических схемах и попытались забанить злоумышленников. Однако хакерам удалось обмануть администраторов, скомпрометировав в итоге сами форумы. По состоянию на 23 августа, Group IB сообщила, что вредоносное ПО DarkMe все еще присутствует на компьютерах 130 трейдеров криптовалют.
Хотя атака нулевого дня была направлена против криптотрейдеров, теперь эта уязвимость известна всем хакерам. CVE-2023-38831 может быть использована другими мошенниками для распространения более скрытных вредоносных программ, позволяющих собирать личную информацию или получать удаленный доступ к вашей системе. Group IB сообщила об этой уязвимости RARLAB в июле, и теперь, когда вышло обновление, она раскрыла первые подробности. Таким образом, пользователям у которых установлен WinRAR, рекомендуют как можно скорее обновить архиватор до версии 6.23, потому что в интернете скоро появится огромное количество зараженных архивов.
