2019 február végén a Check Point szakemberei egy súlyos sebezhetőségre (CVE-2018-20250) hívták fel a figyelmet a WinRAR-ban, és be is mutatták a működését. A WinRAR szinte mind az 500 millió felhasználóját fenyegette a veszély, mivel a feltárt hiba nagyjából 19 éve jelen volt a tömörítőkódban.
A sebezhetőség a régi, külső UNACEV2.DLL könyvtárhoz kapcsolódik: kiderült, hogy létrehozható egy speciális ACE-archívum, amely kicsomagoláskor egy rosszindulatú fájlt tetszőleges könyvtárba helyezhet el, megkerülve a tényleges kicsomagolási útvonalat (például egy kártevőt az automatikus indításba másolva).
A hibát a WinRAR 5.70 Beta 1 kiadásával szüntették meg az idei év januárjában. A fejlesztők úgy döntöttek, hogy felhagynak az ACE formátum támogatásával.
Mindazonáltal a szakértők februárban már észlelték az első, a sebezhetőséget kihasználó támadásokat. A spammerek ekkor kezdtek rosszindulatú archívumokat csatolni leveleikhez, amelyek kicsomagolás után egy hátsó kapuval fertőzik meg az áldozat gépét. A támadók a legkülönfélébb „csalikat” használták az áldozatok megtévesztésére, a kihívó fényképektől és a műszaki dokumentációtól egészen a politikai hírekig.
A McAfee elemzői közzétettek egy jelentést, amely szerint a támadások folytatódnak, és a sebezhetőséget számos hackercsoport próbálja kihasználni. Az egyik csoport például a rosszindulatú szoftverét Ariana Grande Thank U, Next albumának álcázza.
A kutatók több mint 100 egyedi exploitot számoltak össze ehhez a hibához, és megjegyzik, hogy ez nem meglepő. A WinRAR hatalmas felhasználói bázisával kiváló célpont a támadók számára. A felhasználói fiókok felügyeletének elemzése után kiderült, hogy a felhasználó semmilyen figyelmeztető üzenetet nem lát. A kártevő egyszerűen a rendszer következő indítása után kezd működni.
