WinRAR y VenomRAT: la combinación letal de un falso exploit PoC

Falso exploit de WinRAR distribuye el malware VenomRAT

¿Qué es WinRAR?

WinRAR es un popular programa de compresión y descompresión de archivos que se utiliza para crear y extraer archivos en diferentes formatos, como ZIP, RAR, 7Z, TAR, GZIP y otros. WinRAR tiene más de 500 millones de usuarios en todo el mundo y es compatible con Windows, Linux y Mac OS.

¿Qué es VenomRAT?

VenomRAT es un malware de acceso remoto (RAT) que permite a los atacantes tomar el control de los dispositivos infectados, robar información sensible, ejecutar comandos, capturar la pantalla, el teclado y el audio, descargar y subir archivos, y realizar otras acciones maliciosas. VenomRAT se ha utilizado en campañas de ciberespionaje dirigidas a organizaciones gubernamentales y militares.

¿Qué es el falso exploit de WinRAR?

Un hacker está distribuyendo un falso exploit de prueba de concepto (PoC) para una vulnerabilidad recientemente corregida de WinRAR en GitHub, intentando infectar a los que lo descargan con el malware VenomRAT. El falso exploit PoC fue detectado por el equipo de investigadores de Unit 42 de Palo Alto Networks, que informó de que el atacante subió el código malicioso a GitHub el 21 de agosto de 2023.

¿Cómo funciona el falso exploit de WinRAR?

El falso exploit PoC se basa en una vulnerabilidad conocida como CVE-2021-35052, que afecta a las versiones anteriores a la 6.02 de WinRAR y permite a los atacantes crear archivos RAR maliciosos que pueden ejecutar código arbitrario al ser extraídos por el usuario. Esta vulnerabilidad fue descubierta por un investigador independiente y reportada a WinRAR, que la solucionó en la versión 6.02 lanzada en junio de 2023.

El hacker aprovechó esta vulnerabilidad para crear un archivo RAR malicioso llamado CVE-2021-35052.rar, que contiene un archivo HTML llamado index.html y un archivo DLL llamado version.dll. El archivo HTML tiene un código JavaScript que intenta cargar el archivo DLL usando una técnica conocida como DLL side-loading. El archivo DLL es en realidad el malware VenomRAT, que se ejecuta en el dispositivo del usuario al abrir el archivo HTML.

El hacker subió el archivo RAR malicioso a GitHub haciéndolo pasar por un exploit PoC legítimo para la vulnerabilidad CVE-2021-35052, con el objetivo de engañar a los investigadores de seguridad y a los hackers curiosos para que lo descarguen y lo prueben. El hacker también proporcionó instrucciones falsas sobre cómo usar el exploit PoC, diciendo que se necesita una versión vulnerable de WinRAR y una conexión a Internet para que funcione.

¿Cómo detectar y evitar el falso exploit de WinRAR?

Los investigadores de Unit 42 advirtieron que el falso exploit PoC es una amenaza seria, ya que puede infectar a los usuarios con un malware peligroso que puede comprometer su seguridad y privacidad. Los investigadores recomendaron a los usuarios que tomen las siguientes medidas para detectar y evitar el falso exploit PoC:

• Actualizar WinRAR a la última versión disponible (6.02 o superior), que no es vulnerable al CVE-2021-35052.
• No descargar ni abrir archivos RAR sospechosos o desconocidos, especialmente si provienen de fuentes no confiables o no verificadas.
• No confiar ciegamente en los exploits PoC publicados en GitHub u otras plataformas, ya que pueden contener código malicioso o ser falsos.
• Usar un software antivirus actualizado y confiable para escanear los archivos descargados y detectar posibles amenazas.

Conclusión

El falso exploit PoC para la vulnerabilidad CVE-2021-35052 de WinRAR es un ejemplo de cómo los hackers pueden aprovecharse del interés de la comunidad de seguridad y hacking por las nuevas vulnerabilidades para distribuir malware. Los usuarios deben estar atentos y cautelosos al descargar y abrir archivos RAR, y seguir las recomendaciones de seguridad para proteger sus dispositivos y datos.