Pod koniec lutego 2019 roku specjaliści z firmy Check Point zgłosili poważną lukę w zabezpieczeniach (CVE-2018-20250) w programie WinRAR i zademonstrowali jej działanie. Zagrożonych było niemal wszystkich 500 milionów użytkowników WinRAR-a, ponieważ wykryty problem tkwił w kodzie obsługi archiwów od około 19 lat.
Luka jest związana ze starą biblioteką zewnętrzną UNACEV2.DLL: okazało się, że można utworzyć specjalne archiwum ACE, które po rozpakowaniu może umieścić złośliwy plik w dowolnym katalogu, z pominięciem rzeczywistej ścieżki rozpakowywania (na przykład dodając złośliwy program do autostartu).
Problem został wyeliminowany wraz z wydaniem WinRAR 5.70 Beta 1 w styczniu tego roku. Twórcy postanowili zrezygnować z obsługi formatu ACE.
Mimo to pierwsze ataki wykorzystujące tę lukę zostały zauważone przez ekspertów już w lutym. Spamerzy zaczęli następnie rozsyłać w swoich wiadomościach złośliwe archiwa, które po rozpakowaniu infekowały komputer ofiary backdoorem. Cyberprzestępcy używali najróżniejszych „przynęt”: od szczerych zdjęć i dokumentacji technicznej po wiadomości polityczne.
Analitycy McAfee opublikowali raport, z którego wynika, że ataki trwają nadal, a lukę próbuje wykorzystać wiele grup hakerskich. Na przykład jedna z grup podszywa swoje złośliwe oprogramowanie pod album Ariany Grande „Thank U, Next”.
Badacze naliczyli ponad 100 unikalnych exploitów wykorzystujących tę lukę i zauważają, że nie jest to niczym zaskakującym. WinRAR, z ogromną bazą użytkowników, jest doskonałym celem dla intruzów. Po przeanalizowaniu kontroli konta użytkownika nie widzi on żadnego komunikatu ostrzegawczego. Złośliwe oprogramowanie po prostu zaczyna działać po następnym uruchomieniu systemu.
