Un delincuente ha difundido un exploit de prueba de concepto (PoC) falso para una vulnerabilidad real de WinRAR recientemente corregida, con el objetivo de infectar a los descargadores con el malware VenomRAT. El código malicioso fue detectado por el equipo de investigación de la Unidad 42 de Palo Alto Networks.
El PoC falso y su origen
El PoC falso se relaciona con la vulnerabilidad real identificada como CVE-2023-40477. Esta vulnerabilidad permite ejecutar código arbitrario al abrir archivos RAR especialmente diseñados en versiones anteriores de WinRAR, antes de la versión 6.23. La solución a esta falla fue lanzada el 2 de agosto.
El atacante operó bajo el nombre «whalersplonk» y utilizó un resumen y un video en el archivo README para hacer más legítimo su paquete malicioso. Sin embargo, la Unidad 42 informa que el script Python utilizado es una modificación de un exploit público para otra vulnerabilidad, CVE-2023-25157.
El funcionamiento del malware
Cuando se ejecuta el PoC falso, se crea un archivo BAT que descarga un script PowerShell codificado y lo ejecuta en el host. Este script finalmente descarga el malware VenomRAT y establece una tarea programada para su ejecución cada tres minutos. La URL desde donde se descarga el malware es checkblacklistwords.eu.
Una vez que VenomRAT se inicia en un dispositivo Windows, ejecuta un keylogger que registra todas las pulsaciones de teclas y las guarda en un archivo local. Posteriormente, establece comunicación con el servidor C2 para recibir comandos.
Riesgos y recomendaciones
El malware puede utilizarse para implementar otras cargas útiles y robar credenciales. Por ello, se recomienda cambiar las contraseñas de todos los sitios y entornos donde se tengan cuentas.
Contexto del ataque
La línea de tiempo de eventos compartida por la Unidad 42 sugiere que el actor preparó la infraestructura para el ataque mucho antes de la divulgación pública de la vulnerabilidad. Esto implica que podría aprovecharse en el futuro de la atención generada sobre las vulnerabilidades recientemente reveladas.
Ataques similares previos
Los investigadores han descubierto miles de repositorios de GitHub que promovían exploits PoC fraudulentos para diversas vulnerabilidades. Algunos de ellos incluían malware, scripts PowerShell maliciosos y descargadores de información ocultos.
Más recientemente, en junio de 2023, atacantes se hicieron pasar por investigadores de ciberseguridad lanzaron varios exploits falsos dirigidos a sistemas Linux y Windows con malware.