WinRAR(CVE-2018-20250)漏洞利用再升级 减少重启系统的依赖

2019-04-16 来源:原创 作者:腾讯电脑管家
【文章摘要】自从WinRAR被爆出unacev2.dll任意代码执行漏洞(CVE-2018-20250)以来,因为漏洞具有十分简单易用的特点,备受病毒黑产青睐,各种恶意利用纷至沓来。

一、概述

自从WinRAR被爆出unacev2.dll任意代码执行漏洞(CVE-2018-20250)以来,因为漏洞具有十分简单易用的特点,备受病毒黑产青睐,各种恶意利用纷至沓来。但WinRAR unacev2.dll任意代码执行漏洞利用存在一个明显的不足,即需要受害者重启系统后恶意代码才能得以执行。

近日,腾讯安全御见威胁情报中心监控到攻击者对WinRAR漏洞利用的手段进行了技术升级,一定程度上减少了对受害者主动重启系统的依赖,同时确保恶意木马能在第一时间启动。

常见利用方式:



攻击手段升级后的利用方式:

1)攻击利用方式1


2)攻击利用方式2


二、分析

攻击利用方式1

WinRAR漏洞利用结合恶意lnk躲避杀毒软件查杀,同时增加恶意木马执行的概率。样本信息及具体分析如下。

MD5

文件名

3e86873fab89792c3f2302b4deb2377f_

mirotvorec.rar

打开mirotvorec.rar,压缩包内容如下所示


解压mirotvorec.rar,发现该压缩包同时还释放了两个lnk文件和一个exe文件

文件1%userprofile%\win.exe(用户配置目录)

文件2c:\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Goggle Chrome.lnk(开始菜单启动目录)

文件3c:\desktop\Goggle Chrome.lnk(桌面快捷方式)


文件1为最终要执行的恶意木马,被释放到了%userprofile%(用户目录)下;文件2和文件3内容完全相同,均伪装为Chrome浏览器的快捷启动方式(攻击者拼写错误,把Google写成了Goggle),但该lnk实际上指向的启动文件为%userprofile%\win.exe,即文件1


需要注意的是,如果在用户目录直接执行win.exe,还需要输入正确的密码,才会继续执行。密码就是上图快捷方式win.exe的执行参数。如果双击goggle chrome.lnk,密码参数会自动执行,不会出现下图提交密码的对话框。


本次攻击与以往利用WinRAR漏洞的攻击方式存在以下差别:

1)为了躲避杀软查杀,最终执行的恶意木马没有释放到系统自启动目录,而是释放到了用户目录下;同时,为了确保恶意木马能够在重启后顺利执行,将伪装为Chrome浏览器快捷启动方式的恶意lnk释放到了系统自启动目录,该lnk实际上为恶意木马的快捷启动方式;

2)为了提高恶意木马被执行的概率,同时弥补WinRAR漏洞利用需要重启的缺陷,攻击者还将恶意lnk释放到了桌面,诱导受害者手动点击运行;

3)为了躲避杀毒软件查杀,恶意木马需要输入正确的密码方可执行(这就避免了杀毒厂商的自动分析工具发现异常);

4)用户重启系统或者双击运行恶意lnk,均可执行恶意木马。

攻击利用方式2

恶意bat文件下载并解压ACE文件,同时强制系统重启,确保恶意木马执行。攻击样本及具体分析如下。

MD5

文件名

1e541b14b531bcac70e77a012b0f0f7f

__Denuncia_Activa_CL.PDF.bat

notepad++打开bat文件,文本内容为乱码,发现右下脚提示该文件使用了UCS-2 Little-endian编码


重新使用16进制编辑器打开bat文件,即可看到真实的文件内容


执行bat文件,首先生成一个随机数,用于重命名即将下载的恶意rar文件


设置下载目录、文件名等,并启用powershell命令从硬编码的url下载恶意rar文件


使用WinRAR解压,将恶意木马释放到系统启动项目录,执行“shutdown -r”命令强制重启系统,确保恶意木马能在第一时间启动。

三、安全建议

1unacev2.dll漏洞并不仅限于WinRAR,包括WinRAR在内的多款压缩解压缩工具均存在风险,建议用户将这些软件全部升级到最新版本,推荐使用腾讯电脑管家的软件管理来完成软件升级。

2、直接删除WinRAR安装目录下的UNACEV2.DLL文件,但会造成ACE格式的压缩文件无法使用(不过,这影响很小,拥有ACE格式专利的商业公司已倒闭十多年了,你完全可以抛弃ACE压缩格式)。

3、切勿随意轻信、打开来历、用途不明的文件。

四、IOCs

IP

195.62.52.164

DOMAIN

lisingrout.ddns.net

www.poderjudicial.cl

www.triosalud.cl

MD5

3e86873fab89792c3f2302b4deb2377f

64c3556574daa5bc76a5cede8f8bfcd7

f2c78f8b3582eae0af8912b0293ca8a5

1e541b14b531bcac70e77a012b0f0f7f

aafb4d8ebf63b50d80daff778226f7bc

410b77d8f1cdc76c867b4a6a27ae55e5

URL

hxxps://www.triosalud.cl/wp/wp-content/uploads/2019/02/denuncias.rar

hxxps://www.triosalud.cl/wp/wp-content/uploads/2019/03/denuncias.rar

hxxps://www.triosalud.cl/wp/wp-content/uploads/2019/03/up.php

hxxp://www.poderjudicial.cl

电脑管家V13.3

权限雷达全新升级

详情>>

版本更新:2019.5.6