Ende Februar 2019 meldeten die Spezialisten von Check Point eine schwerwiegende Sicherheitslücke (CVE-2018-20250) in WinRAR und demonstrierten deren Funktionsweise. Nahezu alle 500 Millionen WinRAR-Nutzer waren dem Risiko ausgesetzt, da das identifizierte Problem seit rund 19 Jahren im Archivierungscode bestand.
Die Sicherheitslücke betrifft die veraltete Drittanbieter-Bibliothek UNACEV2.DLL: Es stellte sich heraus, dass man ein spezielles ACE-Archiv erstellen kann, das beim Entpacken eine Schadatei in einem beliebigen Verzeichnis ablegen kann, indem es den tatsächlichen Entpackpfad umgeht (etwa um ein Schadprogramm in den Autostart einzufügen).
Das Problem wurde mit der Veröffentlichung von WinRAR 5.70 Beta 1 im Januar dieses Jahres behoben. Die Entwickler beschlossen, das ACE-Format nicht mehr zu unterstützen.
Dennoch wurden die ersten Angriffe auf die Sicherheitslücke im Februar von Experten bemerkt. Spammer begannen daraufhin, ihre Nachrichten mit schadhaften Archiven anzuhängen, die beim Entpacken den Computer des Opfers mit einer Hintertür infizieren. Die Angreifer nutzten die unterschiedlichsten “Köder” für ihre Opfer, von eindeutigen Fotos und technischen Dokumentationen bis hin zu politischen Nachrichten.
Die Analysten von McAfee veröffentlichten einen Bericht, wonach die Angriffe anhielten und zahlreiche Hackergruppen versuchten, diese Sicherheitslücke auszunutzen. So tarnt eine der Gruppen ihre Schadsoftware als das Album Thank U, Next von Ariana Grande.
Die Forscher haben mehr als 100 einzigartige Exploits zur Ausnutzung dieses Problems identifiziert und stellen fest, dass dies nicht überraschend ist. WinRAR mit seiner riesigen Nutzerbasis ist ein hervorragendes Ziel für Eindringlinge. Nach einer Analyse der Benutzerkontensteuerung sieht der Nutzer keine Warnmeldung. Die Schadsoftware beginnt einfach nach dem nächsten Systemstart zu arbeiten.
