Un actor malicioso lanzó un falso exploit de prueba de concepto (PoC) diseñado para explotar una vulnerabilidad recientemente revelada en el programa de compresión de archivos WinRAR. El objetivo principal del engaño es infectar a los usuarios que descargan el código con el malware conocido como Venom RAT.
El falso PoC se basó en un script público
El falso PoC se basó en un script público de PoC de acceso público que se enfocaba en explotar una vulnerabilidad de inyección SQL presente en una aplicación llamada GeoServer, identificada como CVE-2023-25157. El PoC falso no explota la vulnerabilidad de WinRAR.
El repositorio ya no está disponible
La cuenta de GitHub que alojaba el repositorio con el nombre de usuario «whalersplonk» ya no está disponible. El commit con la PoC fue lanzado el 21 de agosto de 2023, cuatro días después de que la vulnerabilidad se anunciara públicamente.
Vulnerabilidades en WinRAR
La CVE-2023-40477 se refiere a un problema de validación incorrecta en la utilidad de WinRAR que podría explotarse para lograr la ejecución de código remoto (RCE) en sistemas Windows. Este problema fue abordado el mes pasado en la versión WinRAR 6.23, junto con otra vulnerabilidad activamente explotada conocida como CVE-2023-38831.
El script descarga un ejecutable malicioso
El script de Python se conecta a un servidor remoto alojado en el dominio «checkblacklistwords.eu» para descargar un ejecutable denominado Windows.Gaming.Preview.exe, el cual es una variante de Venom RAT. El dominio fue creado al menos 10 días antes de la divulgación pública de la vulnerabilidad.
Riesgos identificados
- Infección de usuarios mediante descarga de malware (Venom RAT).
- Exploit falso que puede ser utilizado por actores maliciosos para aprovechar vulnerabilidades recientemente reveladas.
- Posible explotación de la vulnerabilidad CVE-2023-40477 en WinRAR.
Mitigaciones recomendadas
- Actualizar a la versión más reciente de WinRAR (6.23) para corregir la vulnerabilidad CVE-2023-40477.
- Evitar descarga de código o scripts provenientes de fuentes no confiables.