建站
咨詢
售后
建站咨詢
新聞中心
據(jù)Securityaffairs網(wǎng)站消息，具有俄羅斯背景的黑客組織UAC-0099正在利用WinRAR中的一個零日漏洞（已修復(fù)，編號CVE-2023-38831）對烏克蘭傳播LONEPAGE惡意軟件。
創(chuàng)新互聯(lián)長期為上千多家客戶提供的網(wǎng)站建設(shè)服務(wù)，團隊從業(yè)經(jīng)驗10年，關(guān)注不同地域、不同群體，并針對不同對象提供差異化的產(chǎn)品和服務(wù)；打造開放共贏平臺，與合作伙伴共同營造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為靖宇企業(yè)提供專業(yè)的網(wǎng)站設(shè)計、做網(wǎng)站，靖宇網(wǎng)站改版等技術(shù)服務(wù)。擁有十多年豐富建站經(jīng)驗和眾多成功案例,為您定制開發(fā)。
實際上，自2022年中旬以來，UAC-0099一直在對烏克蘭境外公司的員工進行攻擊。直到2023年5月，烏克蘭計算機緊急響應(yīng)團隊CERT-UA發(fā)出警告，稱UAC-0099對烏克蘭的國家機構(gòu)和媒體代表進行了網(wǎng)絡(luò)間諜攻擊。
至今 ，“UAC-0099”又對烏克蘭發(fā)起了新一輪新攻擊。
LONEPAGE惡意軟件投放流程
8月初，UAC-0099組織冒充利沃夫市法院使用ukr.net電子郵件服務(wù)向烏克蘭用戶發(fā)送了網(wǎng)絡(luò)釣魚郵件。該組織使用了不同的感染途徑，將HTA、RAR和LNK文件作為附件進行網(wǎng)絡(luò)釣魚攻擊，最終目的是完成Visual Basic 腳本（VBS）惡意軟件LONEPAGE的部署。
一旦部署成功，該組織可以通過這段惡意代碼檢索烏克蘭用戶額外的有效載荷，包括鍵盤記錄器和信息竊取工具。
Deep Instinct在發(fā)布的報告中寫道，攻擊者創(chuàng)建了一個帶有良性文件名的壓縮文件，并在文件擴展名后面加了一個空格——例如，“poc.pdf ”。該壓縮文件中包含一個同名的文件夾，也包括了那個空格（在正常情況下這是不可能的，因為操作系統(tǒng)不允許創(chuàng)建一個具有相同名稱的文件）。在這個文件夾里還有一個附加文件，名稱與良性文件相同，名稱后面同樣加了一個空格，是一個“.cmd”擴展名。
報告指出，如果用戶在一個沒有更新補丁的WinRAR版本中打開這個壓縮文件，并嘗試打開那個良性文件，實際上電腦會運行那個“.cmd”擴展名的文件。這樣，攻擊者就能執(zhí)行惡意命令了。
研究人員表示，這種攻擊技巧甚至能夠欺騙那些精通安全的受害者。不過，關(guān)于UAC-0099組織利用WinRAR的漏洞CVE-2023-38831這一問題的概念驗證（POC）已在GitHub上發(fā)布，且在2023年8月2日發(fā)布的WinRAR 6.23版本修復(fù)了這一漏洞。
報告總結(jié)道：“‘UAC-0099’使用的戰(zhàn)術(shù)雖簡單，但卻十分有效。盡管最初的感染途徑不同，但核心感染方式是相同的——他們依賴于PowerShell和創(chuàng)建一個執(zhí)行VBS文件的計劃任務(wù)，利用WinRAR投放LONEPAGE惡意軟件，因為有些人即使在有自動更新的情況下，也不會及時更新他們的軟件。而WinRAR需要手動更新，這意味著即使補丁可用，許多人安裝的可能也是一個有漏洞的WinRAR版本?！?/p>
參考來源：https://securityaffairs.com/156381/hacking/uac-0099-apt-exploits-winrar-flaw.html
本文標(biāo)題：俄黑客組織利用WinRAR漏洞攻擊烏克蘭
網(wǎng)頁URL：http://www.dlmjj.cn/article/dpggeie.html
