В конце февраля 2019 года специалисты Check Point сообщили о серьёзной уязвимости (CVE-2018-20250) в WinRAR и продемонстрировали её работу. Почти все 500 миллионов пользователей WinRAR оказались под угрозой, поскольку выявленная проблема существовала в коде архиватора около 19 лет.
Уязвимость связана со старой сторонней библиотекой UNACEV2.DLL: оказалось, что можно создать специальный архив ACE, который при распаковке способен поместить вредоносный файл в произвольный каталог, обходя реальный путь распаковки (например, добавить вредоносную программу в автозагрузку).
Проблема была устранена с выходом WinRAR 5.70 Beta 1 в январе этого года. Разработчики решили отказаться от поддержки формата ACE.
Тем не менее первые атаки с использованием уязвимости были замечены экспертами в феврале. Затем спамеры начали рассылать в своих сообщениях вредоносные архивы, которые при распаковке заражают компьютер жертвы бэкдором. Злоумышленники использовали для жертв самые разные «приманки» — от откровенных фотографий и технической документации до политических новостей.
Аналитики McAfee опубликовали отчёт, в котором говорится, что атаки продолжаются и что уязвимость пытаются использовать многие хакерские группы. Например, одна из групп маскирует свою вредоносную программу под альбом Ариана Гранде Thank U, Next.
Исследователи насчитали более 100 уникальных эксплойтов для использования этой проблемы и отмечают, что в этом нет ничего удивительного. WinRAR с его огромной базой пользователей является отличной целью для злоумышленников. При этом контроль учётных записей пользователя не показывает ни одного предупреждения. Вредоносное ПО просто начинает работать после следующей перезагрузки системы.
