Alla fine di febbraio 2019, gli specialisti di Check Point hanno segnalato una grave vulnerabilità (CVE-2018-20250) in WinRAR e ne hanno dimostrato il funzionamento. Quasi tutti i 500 milioni di utenti di WinRAR erano esposti al rischio, poiché il problema individuato esisteva da circa 19 anni nel codice di archiviazione.
La vulnerabilità è legata alla vecchia libreria di terze parti UNACEV2.DLL: si è scoperto che è possibile creare un archivio ACE speciale che, una volta decompresso, può collocare un file dannoso in una directory arbitraria, aggirando il percorso di decompressione reale (ad esempio, aggiungendo un programma dannoso all’avvio automatico).
Il problema è stato eliminato con il rilascio di WinRAR 5.70 Beta 1 , nel gennaio di quest’anno. Gli sviluppatori hanno deciso di abbandonare il formato ACE supportato.
Tuttavia, i primi attacchi contro la vulnerabilità sono stati notati dagli esperti a febbraio. Gli spammer hanno quindi iniziato a sfruttare gli archivi dannosi allegati alle loro email che, una volta decompressi, infettano il computer della vittima con una backdoor. I malintenzionati hanno utilizzato le “esche” più disparate per le vittime, partendo da foto esplicite e documentazione tecnica, fino ad arrivare alle notizie politiche.
Gli analisti di McAfee hanno pubblicato un rapporto in cui indicano che gli attacchi continuavano e che questa vulnerabilità veniva sfruttata da numerosi gruppi di hacker. Ad esempio, uno dei gruppi mascherava il proprio malware con il nome dell’album Thank U, Next di Ariana Grande.
I ricercatori hanno individuato più di 100 exploit unici per sfruttare questo problema e fanno notare che non c’è da stupirsi. WinRAR, con la sua vasta base di utenti, è un obiettivo ideale per gli intrusi. Dopo aver analizzato il controllo dell’account utente, l’utente non vede alcun messaggio di avviso. I malware iniziano semplicemente a funzionare dopo il successivo avvio del sistema.
