Un actor de amenazas con posibles conexiones con el grupo Evilnum de Rusia, motivado financieramente, está utilizando una vulnerabilidad parcheada en la utilidad de compresión de archivos WinRAR para apuntar a usuarios en foros de comercio de criptomonedas. El error, identificado como CVE-2023-38831, permite ocultar código malicioso en archivos ZIP disfrazados de formatos como «.jpg» o «.txt», y luego distribuirlos en dichos foros.
Ataques desde abril
Los ataques han estado ocurriendo al menos desde abril, tres meses antes de que los investigadores de Group-IB descubrieran la vulnerabilidad. El proveedor de seguridad informó el descubrimiento a RarLab, la empresa desarrolladora de WinRAR.
Parche y persistencia del problema
RarLab emitió un parche beta para el problema el 20 de julio y una versión actualizada de WinRAR (versión 6.23) el 2 de agosto. A pesar de ello, al menos 130 sistemas en foros utilizados por usuarios de criptomonedas siguen infectados según un informe publicado esta semana.
Conexión con el grupo Evilnum
Los investigadores de Group-IB descubrieron la vulnerabilidad al analizar la actividad del grupo Evilnum, que se ha relacionado previamente con el troyano DarkMe. NSFocus atribuyó por primera vez esta amenaza a Evilnum y observó su uso en ataques contra casinos en línea y plataformas comerciales.
Uso de la vulnerabilidad
La vulnerabilidad surge del manejo que WinRAR da al formato ZIP. Los atacantes pueden ocultar herramientas maliciosas en archivos ZIP y distribuirlos a sistemas objetivo. Group-IB observó que el actor de amenazas entregaba tres familias de malware: DarkMe, GuLoader y Remcos RAT.
Distribución del malware
El actor de amenazas distribuyó los archivos ZIP en al menos ocho foros públicos utilizados por comerciantes. En la mayoría de los casos, adjuntó el archivo malicioso a publicaciones o mensajes privados. También usó un servicio gratuito de almacenamiento llamado catbox[.]moe.
Efectos del malware
Una vez instalado en un sistema, el malware obtiene acceso a las cuentas comerciales de la víctima y ejecuta transacciones no autorizadas para retirar fondos. Algunos administradores de foros se dieron cuenta de la distribución de archivos maliciosos e intentaron advertir a los miembros sobre la amenaza.