WinRAR bug正被攻击者用来安装难以检测的恶意程序

上个月，流行的解压缩软件 WinRAR曝出了一个至少 14 年历史的代码执行漏洞，安全公司 Check Point 的研究人员在 UNACEV2.DLL 的过滤函数中发现了一个漏洞，允许将代码提取到 Windows 启动文件夹，在 Windows 重启之后执行。

　　现在，McAfee 研究人员报告该漏洞正被利用安装难以检测的恶意程序。当存在漏洞的 WinRAR 解压恶意压缩文档，它会悄悄将名为 hi.exe 的文件提取到启动文件夹，当系统重启之后它会安装一个木马程序，该木马目前只有少数杀毒软件能检测出来。WinRAR 用户最好升级到新版本或者改用其它解压软件如 7zip。

　　Figure 1 – Malformed Archive detected by McAfee as CVE2018-20250!4A63011F5B88

　　SHA256: e6e5530ed748283d4f6ef3485bfbf84ae573289ad28db0815f711dc45f448bec

　　Figure 2 – Extracted non-malicious MP3 files

　　Figure 3 – Extracted Malware payload detected by McAfee as Generic Trojan.i

　　SHA256: A1C06018B4E331F95A0E33B47F0FAA5CB6A084D15FEC30772923269669F4BC91