Eind februari 2019 meldden de specialisten van Check Point een ernstige kwetsbaarheid (CVE-2018-20250) in WinRAR en toonden aan hoe deze werkt. Bijna alle 500 miljoen WinRAR-gebruikers liepen risico, want het ontdekte probleem zat al zo’n 19 jaar in de archiveringscode.
De kwetsbaarheid hangt samen met de oude externe bibliotheek UNACEV2.DLL: het bleek mogelijk een speciaal ACE-archief te maken dat bij het uitpakken een kwaadaardig bestand in een willekeurige map kan plaatsen, buiten het eigenlijke uitpakpad om (bijvoorbeeld door een schadelijk programma aan de automatische opstart toe te voegen).
Le problème a été éliminé avec la sortie de WinRAR 5.70 Beta 1 , en janvier de cette année. Les développeurs ont décidé d’abandonner le format de support ACE.
Toch merkten experts de eerste aanvallen op deze kwetsbaarheid al in februari op. Spammers begonnen toen kwaadaardige archieven aan hun berichten toe te voegen, die bij het uitpakken de computer van het slachtoffer met een achterdeur infecteren. De aanvallers gebruikten de meest uiteenlopende “lokmiddelen” voor hun slachtoffers, van expliciete foto’s en technische documentatie tot politiek nieuws.
Analisten van McAfee publiceerden een rapport waarin staat dat de aanvallen voortduren en dat tal van hackersgroepen deze kwetsbaarheid proberen uit te buiten. Zo vermomt een van de groepen hun malware als het album Thank U, Next van Ariana Grande.
De onderzoekers telden meer dan 100 unieke exploits voor dit probleem en merken op dat dit niet verrassend is. WinRAR is met zijn enorme gebruikersbestand een uitstekend doelwit voor indringers. Na analyse van de gebruikersaccountbeheer-controle ziet de gebruiker geen enkele waarschuwing. De malware begint simpelweg te draaien na de eerstvolgende herstart van het systeem.
