{"id":4592,"date":"2023-04-04T23:40:25","date_gmt":"2023-04-04T22:40:25","guid":{"rendered":"https:\/\/sajberinfo.com\/?p=4592"},"modified":"2023-04-11T21:45:15","modified_gmt":"2023-04-11T20:45:15","slug":"zloupotreba-winrar-sfx-arhiva-za-backdoor-instalaciju","status":"publish","type":"post","link":"https:\/\/sajberinfo.com\/en\/2023\/04\/04\/zloupotreba-winrar-sfx-arhiva-za-backdoor-instalaciju\/","title":{"rendered":"Zloupotreba WinRAR SFX arhiva za backdoor instalaciju"},"content":{"rendered":"

Otkrivena je zloupotreba WinRAR SFX<\/em> arhiva<\/a> za backdoor<\/em><\/a> instalaciju koju mehanizmi za\u0161tite te\u0161ko otkrivaju.<\/span><\/p>\n

\"WinRAR

Zloupotreba WinRAR SFX arhiva za backdoor instalaciju; Dizajn: Sa\u0161a \u0110uri\u0107<\/em><\/p><\/div>\n

SFX<\/em> arhive<\/strong><\/span><\/h2>\n

SFX <\/em>arhive su dugo prisutne u upotrebi. One sadr\u017ee dekompresor koji omogu\u0107ava korisnicima da raspakuju i pregledaju sadr\u017eaj arhive bez dodatnog softvera. Softveri za arhiviranje dokumenata kao \u0161to su WinRAR<\/em> i 7-Zip<\/em> koristi SFX<\/em> tehnologiju da olak\u0161aju distribuciju softvera i datoteka. WinRAR<\/em> je posebno za SFX<\/em> arhive omogu\u0107io napredne opcije kao \u0161to su mogu\u0107nosti izvr\u0161avanja komandi pre i posle pode\u0161avanja i zamjena svih postojec\u0301ih datoteka ili direktorijuma u ciljnom direktorijumu.<\/span><\/p>\n

 <\/p>\n

Napad sa lozinkom za\u0161ti\u0107enim SFX<\/em> arhivama<\/strong><\/span><\/h3>\n

Zlonamjerni akteri<\/a> iskori\u0161tavaju WinRAR self-extracting<\/em> (SFX<\/em>) arhive koje su posebno pripremljene da zavaraju korisnike, a sadr\u017ee zlonamjerne funkcionalnosti za instalaciju backdoor<\/em> zlonamjernog softvera<\/a> bez detekcije od strane sigurnosnih rje\u0161enja za za\u0161titu korisnika.\u00a0 Napad ne zahteva da korisnik ima WinRAR<\/em> ili bilo koji drugi softver za arhiviranje, jer su SFX<\/em> datoteke dizajnirane da omogu\u0107e pristup sadr\u017eaju bez softverskog uslovljavanja, u cilju jednostavnije distribucije arhiviranih podataka korisnicima koji nemaju pomo\u0107ni program za raspakivanje arhiva.<\/span><\/p>\n

Uobi\u010dajena je praksa da poslovne organizacije koriste SFX<\/em> za\u0161ti\u0107ene lozinkom<\/a>. Ove arhive su \u0161ifrovane kori\u0161tenjem komercijalnih proizvoda i mo\u017ee im se pristupiti samo sa ta\u010dnom lozinkom, a nakon unosa lozinke datoteka postaje SFX<\/em> arhiva sa izvr\u0161nom ekstenzijom. Napada\u010di sada zloupotrebljavaju napredne karakteristike WinRAR SFX<\/em> arhiva koje se odnose na mogu\u0107nost uklju\u010divanja pro\u0161irenih SFX<\/em> komandi, koje se pokrec\u0301u nakon uspje\u0161nog raspakivanja datoteke.<\/span><\/p>\n

Unutar ovih komandi nalazi se opcija pode\u0161avanja koja se koristi za odre\u0111ivanje izvr\u0161ne datoteke koja treba da se pokrene nakon uspje\u0161nog raspakivanja, a napada\u010di to mogu zloupotrebiti kako bi izvr\u0161ili pokretanje zlonamjernog softvera koji se nalazi u SFX<\/em> arhivi nakon \u0161to raspakuju arhivu na disk. Me\u0111utim, SFX<\/em> arhiva preko koje se vr\u0161i napad na korisnike ne mora da sadr\u017ei zlonamjerni softver, umjesto toga se mo\u017ee koristiti za pokretanje zlonamjernih komandi koriste\u0107i postoje\u0107e funkcije dekompresora.<\/span><\/p>\n

 <\/p>\n

Proces zloupotrebe<\/strong><\/span><\/h3>\n

Po\u0161to SFX<\/em> arhiva sadr\u017ei va\u017eec\u0301u arhivu, metapodaci svake datoteke sadr\u017eane u ovoj arhivi \u010desto nisu \u0161ifrovani i za\u0161ti\u0107eni lozinkom, \u010dak i ako sadr\u017eaj tih datoteka jeste. Pregledom metapodataka datoteke u arhivi otkriveno je da je arhiva sadr\u017ei prazan tekstualni dokument, koji je na prvi pogled slu\u017ei samo kao mamac.<\/span><\/p>\n

Pa\u017eljivija analiza posebno pripremljene SFX<\/em> arhive otkriva da ona funkcioni\u0161e kao backdoor<\/em> za\u0161ti\u0107en lozinkom tako \u0161to zloupotrebljava napredne opcije pode\u0161avanja WinRAR<\/em> softvera umjesto da sadr\u017ei zlonamjerni softver. U arhivu je upisan komentar koji sadr\u017ei komande SFX<\/em> skripte za pode\u0161avanje koje treba pokrenuti.<\/span><\/p>\n

Ovi komentari se dodaju bilo kojoj SFX<\/em> arhivi kori\u0161tenjem naprednih opcija kako bi se osiguralo da se prilikom raspakivanja arhive automatski prepi\u0161u sve postojec\u0301e datoteke, sakriju sva obavje\u0161tenja uklju\u010dena u ovaj proces i po zavr\u0161etku\u00a0 da se izvr\u0161i pokretanje powershell.exe, cmd.exe <\/em>i taskmgr.exe<\/em>.<\/span><\/p>\n

\"WinRAR

Complete adversarial persistence attack chain; Source: <\/em>CrowdStrike<\/em><\/a><\/p><\/div>\n

Napada\u010di sada zloupotrebljavaju utilman.exe<\/em> aplikaciju za pristupa\u010dnost koja se mo\u017ee izvr\u0161iti pre prijavljivanja korisnika u kombinaciji sa ukradenim lozinkama, koja se sada koristi da bi se zaobi\u0161la autentifikacija sistema. Aplikacija utilman.exe<\/em> pokre\u0107e SFX<\/em> arhivu koja je za\u0161ti\u0107ena lozinkom i \u010dija je svrha da zloupotrebi napredne opcije WinRAR<\/em> i izvr\u0161i pokretanje powershell.exe, cmd.exe <\/em>i taskmgr.exe<\/em> sa sistemskim privilegijama.<\/span><\/p>\n

Ova vrsta napada \u0107e vjerovatno ostati neotkrivena od strane tradicionalnog antivirusnog softvera<\/a> koji tra\u017ei zlonamjerni softver unutar arhive (koja je \u010desto za\u0161ti\u0107ena lozinkom), a ne pra\u0107enjem pona\u0161anja procesa raspakivanja SFX<\/em> arhive.<\/span><\/p>\n

 <\/p>\n

Zaklju\u010dak<\/strong><\/span><\/h4>\n

Zlonamjerni uzorci SFX<\/em> arhiva koji su bili ili za\u0161ti\u0107eni lozinkom ili koji su sadr\u017eali naizgled legitimne datoteke, ali su koristili WinRAR<\/em> parametre pode\u0161avanja za izvr\u0161avanje zlonamjernih komandi, imali su relativno niske stope otkrivanja, bilo pri slanju ili u nekim slu\u010dajevima \u010dak i nakon \u0161to su bili javno dostupni vi\u0161e godina. Ovo ukazuje da \u0107e zloupotreba WinRAR<\/em> SFX<\/em> arhiva vjerovatno nastaviti da bude efikasno sredstvo da napada\u010d ostane neotkriven sada, a i u budu\u0107nosti.<\/span><\/p>\n

 <\/p>\n

Za\u0161tita<\/strong><\/span><\/h5>\n

Korisnicima se preporu\u010duje da obrate posebnu pa\u017enju na SFX<\/em> arhive i koriste odgovaraju\u0107i softver za provjeru sadr\u017eaja arhive, kao i da tra\u017ee potencijalne skripte ili komande koje treba da se pokrec\u0301u nakon raspakivanja arhive.<\/span><\/p>","protected":false},"excerpt":{"rendered":"

Otkrivena je zloupotreba WinRAR SFX arhiva za backdoor instalaciju koju mehanizmi za\u0161tite te\u0161ko otkrivaju. SFX arhive SFX arhive su dugo prisutne u upotrebi. One sadr\u017ee dekompresor koji omogu\u0107ava korisnicima da raspakuju i pregledaju sadr\u017eaj...<\/p>","protected":false},"author":1,"featured_media":4595,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[329,142,331,93,275,330,328,76],"class_list":["post-4592","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hronike","tag-7-zip","tag-backdoor","tag-cmd","tag-malware","tag-powershell","tag-sfx","tag-winrar","tag-zlonamjerni-softver"],"_links":{"self":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/4592","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/comments?post=4592"}],"version-history":[{"count":0,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/4592\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media\/4595"}],"wp:attachment":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media?parent=4592"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/categories?post=4592"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/tags?post=4592"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}