Willkürliche Dekomprimierung bei WinRAR

WinRAR ist eines der bekanntesten Dekomprimierungstools mit mehr als 500 Millionen Anwendern weltweit. Im August wurde über die NIST eine Schwachstelle namens RARLAB mit der Nummer CVE-2023-38831 bekannt, die eine Ausführung von Code erlaubte.

In der Folge haben es Bedrohungsakteure auf diese Schwachstelle abgesehen, um Malware wie Agent Tesla, GuLoader, Remcos und Darkme zu verbreiten. Inzwischen wurde die Sicherheitslücke in der neuesten Version von WinRAR behoben, besteht jedoch weiterhin in Versionen vor 6.23. Das Patchen wird dringend empfohlen.

Der erste Schritt in der Infektionskette besteht darin, dass der Angreifer ein ZIP-Archiv erstellt, das sowohl bösartige als auch harmlose Dateien enthält. Er kann die Aktivierung von bösartigem Code in einem Archiv verstecken, das Dateiformate wie „.jpg“, „.txt“, „.pdf“ oder ein anderes Dateiformat vortäuscht. Die Schwachstelle wird dann ausgenutzt, wenn WinRAR verwendet wird, um ein ZIP-Archiv zu extrahieren, das sowohl eine legitime Datei als auch einen Ordner mit demselben Namen wie diese Datei enthält. Beim Versuch, auf die harmlose Datei zuzugreifen, führt WinRAR versehentlich die im Ordner enthaltene bösartige Datei aus und öffnet dem Angreifer Tür und Tor zum Netzwerk.

Eine Möglichkeit, sich zu schützen, ist die Konfiguration von E-Mail-Sicherheitstechnologien wie SPF, DKIM und DMARC, um die Herkunft eingehender E-Mails zu authentifizieren und zu überprüfen. Das Least Privileges-Prinzip beinhaltet die Beschränkung des Benutzerzugriffs und der Berechtigungen auf das, was für die Erfüllung der Arbeitsaufgaben erforderlich ist. Die Beschränkung des Benutzerzugriffs kann auch potenzielle Schäden verhindern, die durch kompromittierte Benutzerkonten verursacht werden können. Allerdings können privilegierte Konten ohne entsprechendes Monitoring missbraucht werden, was zu Datenverletzungen, Systemausfällen und anderen Sicherheitsvorfällen führen kann. Darüber hinaus kann die Überprüfung von privilegierten Konten wertvolle Erkenntnisse darüber liefern, wie diese Konten genutzt werden, so dass Unternehmen fundierte Entscheidungen über Zugriffskontrolle, Ressourcenzuweisung und Risikomanagement treffen können.

Eine ordnungsgemäße Protokollierung, die Sichtbarkeit von Ressourcen und die Überwachung von Systemen sind wesentliche Bestandteile einer robusten Cybersicherheitsstrategie. Diese Maßnahmen bieten einen Überblick über Vorgänge im Netzwerk und helfen bei der Erkennung von Anomalien, die auf eine Sicherheitsbedrohung hindeuten könnten. Sicherheitslösungen auf Host-Ebene wie AgentX können helfen, Malware-Infektionen einschließlich Stealer-Malware, zu erkennen und zu verhindern. Diese Lösungen bieten eine zusätzliche Schutzebene für Ihre Geräte, indem sie die Aktivität von Prozessen und Diensten, die auf Ihrem Gerät laufen, überwachen und Sie bei verdächtigen oder bösartigen Aktivitäten alarmieren.

Die Sicherheitslücke stellt trotz des Patches eine erhebliche Bedrohung dar, insbesondere angesichts der weiten Verbreitung von WinRAR. Angreifer können diese Schwachstelle für böswillige Zwecke ausnutzen, was eine frühzeitige Erkennung noch wichtiger macht. Die frühzeitige Erkennung und Reaktion auf diese Angriffe kann dazu beitragen, den potenziellen Schaden zu minimieren.

Mehr Details zur technischen Analyse sollten hier verfügbar sein.

Alexander von Keyserlingk, Senior Regional Sales Manager bei Logpoint, www.logpoint.com/en/