Los ciberdelincuentes están explotando una vulnerabilidad de día cero en WinRAR, la venerable herramienta de archivo shareware para Windows, para atacar a los comerciantes y robar fondos.
La empresa de ciberseguridad Group-IB descubrió la vulnerabilidad, que afecta al procesamiento del formato de archivo ZIP por parte de WinRAR, en junio. La falla de día cero (lo que significa que el proveedor no tuvo tiempo, o tuvo cero días, para arreglarla antes de que fuera explotada) permite a los piratas informáticos ocultar scripts maliciosos en archivos comprimidos disfrazados de imágenes “.jpg” o archivos “.txt”, por ejemplo. , para comprometer las máquinas objetivo.
Group-IB dice que los piratas informáticos han estado explotando esta vulnerabilidad desde abril para difundir archivos ZIP maliciosos en foros comerciales especializados. Group-IB le dice a TechCrunch que se publicaron archivos ZIP maliciosos en al menos ocho foros públicos, que «cubren una amplia gama de temas relacionados con el comercio, la inversión y las criptomonedas». Group-IB se negó a nombrar los foros específicos.
En el caso de uno de los foros atacados, los administradores se dieron cuenta de que se compartían archivos maliciosos y posteriormente emitieron una advertencia a sus usuarios. El foro también tomó medidas para bloquear las cuentas utilizadas por los atacantes, pero Group-IB vio evidencia de que los piratas informáticos pudieron “desbloquear cuentas que fueron desactivadas por los administradores del foro para continuar propagando archivos maliciosos, ya sea publicando en hilos o mensajes privados. «
Una vez que un usuario del foro abre el archivo con malware, los piratas informáticos obtienen acceso a las cuentas de corretaje de sus víctimas, lo que les permite realizar transacciones financieras ilícitas y retirar fondos, según Group-IB. La empresa de ciberseguridad le dice a TechCrunch que los dispositivos de al menos 130 comerciantes están infectados en el momento de escribir este artículo, pero señala que «no tiene información sobre las pérdidas financieras en este momento».
Una víctima dijo a los investigadores del Group-IB que los piratas informáticos intentaron retirar su dinero, pero no lo consiguieron.
No se sabe quién está detrás de la explotación del día cero de WinRAR. Sin embargo, Group-IB dijo que observó a los piratas informáticos utilizando DarkMe, un troyano de VisualBasic que anteriormente se había vinculado al grupo de amenazas “Evilnum”.
Evilnum, también conocido como “TA4563”, es un grupo de amenazas con motivación financiera que ha estado activo en el Reino Unido y Europa desde al menos 2018. El grupo es conocido por apuntar principalmente a organizaciones financieras y plataformas comerciales en línea. Group-IB dijo que si bien identifica el troyano DarkMe, «no puede vincular de manera concluyente la campaña identificada con este grupo con motivación financiera».
Group-IB dice que informó la vulnerabilidad, rastreada como CVE-2023-38831, a Rarlab, fabricante de WinRAR. El 2 de agosto se lanzó una versión actualizada de WinRAR (versión 6.23) para solucionar el problema.