Un actor malicioso ha lanzado un falso exploit de prueba de concepto (PoC) diseñado para explotar una vulnerabilidad recientemente revelada en el popular programa de compresión de archivos, WinRAR. El objetivo principal de este engaño es infectar a los usuarios que descargan el código con el malware conocido como Venom RAT.

El investigador de Palo Alto Networks Unit 42, Robert Falcone, reveló que el falso PoC diseñado para aprovechar la vulnerabilidad de WinRAR se basó en un script de PoC de acceso público. Este script se enfocaba en explotar una vulnerabilidad de inyección SQL presente en una aplicación llamada GeoServer, identificada como CVE-2023-25157.

Aunque el uso de PoCs falsos ha sido ampliamente documentado como una táctica común para engañar a la comunidad de investigación, la firma de ciberseguridad sospecha que los actores de amenazas pueden estar buscando oportunidades para dirigirse a otros delincuentes que podrían estar incorporando las últimas vulnerabilidades a su arsenal.

Es importante destacar que la cuenta de GitHub que alojaba el repositorio, con el nombre de usuario «whalersplonk«, ya no está disponible. Se ha informado que el commit con la PoC fue lanzado el 21 de agosto de 2023, cuatro días después de que la vulnerabilidad se anunciara públicamente.

La CVE-2023-40477 se refiere a un problema de validación incorrecta en la utilidad de WinRAR que podría explotarse para lograr la ejecución de código remoto (RCE) en sistemas Windows. Este problema se abordó el mes pasado en la versión WinRAR 6.23, junto con otra vulnerabilidad activamente explotada conocida como CVE-2023-38831.

Un análisis del repositorio revela la existencia de un script de Python y un video alojado en Streamable que proporciona instrucciones sobre cómo utilizar el exploit. El video ha atraído un total de 121 visitas.

Es importante destacar que, en lugar de ejecutar el PoC, el script de Python se conecta a un servidor remoto alojado en el dominio «checkblacklistwords[.]eu» para descargar un ejecutable denominado Windows.Gaming.Preview.exe, el cual es una variante de Venom RAT. Este malware tiene la capacidad de listar los procesos en ejecución y recibir comandos de un servidor controlado por el actor, con la dirección IP 94.156.253[.]109.

Un análisis más detenido de la infraestructura de ataque revela que el actor de amenazas creó el dominio checkblacklistwords[.]eu al menos 10 días antes de la divulgación pública de la vulnerabilidad. Luego, aprovechó rápidamente la gravedad de la vulnerabilidad para atraer posibles víctimas.

«Un actor de amenazas desconocido intentó comprometer a individuos al publicar un PoC falso después de que la vulnerabilidad se hiciera pública, con el objetivo de explotar una vulnerabilidad de RCE ampliamente buscada en WinRAR y comprometer a otros. Este PoC es falso y no explota la vulnerabilidad de WinRAR, lo que sugiere que el actor intentó aprovechar una vulnerabilidad muy codiciada para comprometer a otros».

Robert Falcone, investigador de Palo Alto Networks Unit 42.

Más información:

• https://unit42.paloaltonetworks.com/fake-cve-2023-40477-poc-hides-venomrat/
• https://nvd.nist.gov/vuln/detail/CVE-2023-25157
• https://www.uptycs.com/blog/winrar-vulnerability-exploitation
• https://nvd.nist.gov/vuln/detail/CVE-2023-38831