Atak polega na wykorzystaniu wad w legalnym oprogramowaniu do wykonania działań, które nie powinny być dozwolone. Zazwyczaj dzielą się na wykorzystanie umożliwiające zdalne wykonanie kodu (RCE), które pozwalają atakującym na zainfekowanie innej maszyny, oraz na wykorzystania do eskalacji uprawnień lokalnych (LPE), które pozwalają atakującym na większą kontrolę nad częściowo zainfekowaną maszyną.
WinRAR nie jest często celem wykorzystań, poza sporadycznymi przejściami ścieżek. Naszą uwagę natychmiast przyciągnęła więc wiadomość o CVE-2023-38831, łatwej do wykorzystania podatności WinRAR, która pozwala atakującemu stworzyć złośliwe archiwum, tak aby zawierało zarówno niewinną przynętę (np. plik obrazu) jak i złośliwy ładunek. Gdy niczego niepodejrzewająca ofiara otwiera takie złośliwe archiwum w podatnej wersji WinRAR i kliknie dwukrotnie na plik przynęty, zamiast tego zostanie wykonany złośliwy ładunek. Wynika to z faktu, że otwieranie plików z wnętrza WinRAR jest wewnętrznie implementowane przez wyodrębnienie docelowych plików do tymczasowego folderu, a następnie wywołanie ShellExecute na nich. Niestety, ze względu na błędne normalizowanie ścieżek, możliwe było przekierowanie wywołania ShellExecute na inny plik niż ten, na który kliknęła ofiara. Aby uzyskać bardziej szczegółowy wgląd w wykorzystanie, polecamy przeczytanie tej analizy SecureLayer7.
Ta podatność była wykorzystywana jako zero-day w atakach motywowanych finansowo co najmniej od kwietnia 2023 roku. Ataki te miały miejsce na forach handlowych i polegały na umieszczaniu przez atakujących archiwów wykorzystujących tę podatność, obiecujących szczegóły nowych strategii handlowych. Jednak zamiast ekscytujących nowych strategii handlowych, archiwa te były wykorzystywane do rozpowszechniania malware DarkMe (lub duo Guloader -> Remcos w niektórych atakach). Kampanię tę początkowo odkryto w lipcu przez jednostkę Threat Intelligence Group-IB. Po zgłoszeniu podatności RARLAB, w sierpniu została wydana załatana wersja WinRAR.
Ponieważ WinRAR musi być aktualizowany ręcznie przez pobranie i zainstalowanie załatanej wersji, możemy oczekiwać, że nadal będzie wielu użytkowników z niezałatanymi wersjami w przyszłości. Chociaż wykorzystanie wymaga sporej interakcji użytkownika (nie każdy zaatakowany użytkownik otworzy archiwum w WinRAR i kliknie dwukrotnie na plik przynęty), jest dość łatwe w stworzeniu archiwum wykorzystującego (istnieje nawet publiczny PoC builder na GitHubie), więc prawdopodobne jest, że będą cyberprzestępcy eksperymentować z tą podatnością. I rzeczywiście, ostatnio Google TAG zgłosił, że „wiele grup hakerskich wspieranych przez rządy” wykorzystuje tę podatność. Pozwólmy więc skorzystać z tej okazji, aby przypomnieć czytelnikowi, by nie zwlekać z zastosowaniem aktualizacji.
Archiwum wykorzystujące otwarte w podatnej wersji WinRAR. Kliknięcie dwukrotnie na plik PDF tutaj spowoduje wykonanie złośliwego pliku wsadowego znajdującego się w folderze o tej samej nazwie. Zauważ, że plik PDF nie ma swojej zwykłej ikony. Wynika to z tego, że do rozszerzenia „.pdf” została dodana dodatkowa spacja na końcu.
W innych wiadomościach, Google’s Threat Analysis Group i Citizen Lab odkryli nowy łańcuch wykorzystań zero-day dla iPhone’ów w środowisku naturalnym. Łańcuch ten rozpoczął się od RCE WebKit (CVE-2023-41993), który został połączony z obejściem podpisu (CVE-2023-41991) i ostatecznie zakończył się na LPE jądra (CVE-2023-41992). Po eksploatacji, łańcuch wdrożył implant Predator, znanego z rozwoju przez komercyjnego dostawcę szpiegowskiego oprogramowania Intellexa. Atakujący wykorzystali również równoległy łańcuch wykorzystań dla urządzeń z Androidem, ale niestety pełne szczegóły tego łańcucha pozostają nieznane w tym czasie.
Jak zgłosiło Citizen Lab, jednym z celów był były egipski poseł Ahmed Eltantawy, który ogłosił swoją kandydaturę na prezydenta w 2024 roku. Był on celem ataku przez iniekcję MitM (man-in-the-middle) na niezaszyfrowanym HTTP, przez urządzenie pośrednie znajdujące się w uprzywilejowanej sieci ISP. To zasadniczo pozwoliło atakującym na wykorzystanie exploita przeglądarki bez wymaganej interakcji użytkownika, podobnie jak w przypadku ataków watering hole lub malvertising. Chociaż bardzo trudno jest obronić się przed takimi atakującymi wspieranymi przez rząd, korzystanie z bezpiecznego VPN powinno złagodzić ryzyko iniekcji MitM na poziomie ISP. Należy jednak zauważyć, że wystarczy tylko jedno żądanie HTTP poza tunelem VPN, aby atakujący nadal mogli wstrzyknąć exploita.
Wreszcie, w Q3/2023 aktywnie wykorzystywany był łańcuch wykorzystań BLASTPASS przez niesławną Grupę NSO do kompromitowania w pełni załatanych iPhone’ów w sposób zero-click. BLASTPASS został odkryty przez Citizen Lab, który znalazł go podczas pomocy w sprawdzeniu urządzenia potencjalnej ofiary szpiegowskiego oprogramowania najemników. Początkowa podatność na uszkodzenia pamięci wydaje się mieć trzy różne CVE (CVE-2023-41064, CVE-2023-4863 i CVE-2023-5129), ponieważ na początku było pewne zamieszanie, kto właściwie powinien przypisać CVE. Niemniej jednak, podatny kod znajduje się w libwebp, bibliotece renderowania obrazów Google dla formatu WebP. Chociaż ta biblioteka jest bardzo szeroko stosowana, obecnie nie jest jasne, jakie warunki są potrzebne, aby podatność była wykorzystywana. Istnieje kilka świetnych badań nad przyczyną podatności i publiczny PoC do wywołania przepełnienia sterty. Jednakże, zbrojenie tego przepełnienia sterty wydaje się być absurdalnie trudnym zadaniem, więc przynajmniej na razie nie musimy obawiać się, że ta podatność będzie wykorzystywana przez mniej wyrafinowanych atakujących.
Jan Vojtěšek, Badacz Malware
