اکسپلویت آسیب پذیری CVE-2023-38831 در WinRAR ،روی تریدرها

زمان مطالعه: 9 دقیقه

در این پست به بررسی گزارش محققای Group-IB پرداختیم که یه کمپینی رو آنالیز کردن که با استفاده از آسیب پذیری CVE-2023-38831 در WinRAR ، تریدرها رو هدف قرار داده بودن.

قبل از اینکه مقاله رو بخونید، حتما نسخه 6.23 این برنامه رو که نسخه اصلاح شده هستش ، روی سیستموتون نصب کنید.

Winrar با بیش از 500 میلیون کاربر در سراسر جهان، یکی از محبوب ترین ابزارهای فشرده سازی هستش. احتمالا پیدا کردن کسی که این ابزار اجرا یا باز نکرده باشه سخته. اگه یه کسی یه ایمیل مخرب رو دریافت کنه، احتمالا اونو با WinRAR باز میکنه. بنابراین بازیگران تهدید دنبال آسیب پذیری روی این برنامه و برنامه های رایجی که توسط کاربران اینترنت استفاده میشه ، هستن.

در 10 جولای ، محققین Group-IB هنگام بررسی بدافزار DarkMe ، با یه آسیب پذیری ناشناخته در پردازش فایل ZIP در WinRAR مواجه شدن. بازیگران تهدید با ایجاد فایلهای مخرب ZIP ، از اونا بعنوان حامل بدافزار استفاده میکردن و این فایهارو در فرومهای تریدینگ منتشر کردن. بعد از دانلود و استخراج و اجرای این فایلها توسط قربانی ها ، بازیگران تهدید امکان برداشت پول از کارگزار رو داشتن. این آسیب پذیری از آوریل 2023 مورد اکسپلویت قرار گرفته.

محققا بعد از این کشف ، با RARLAB تماس گرفتن و گزارش دادن تا آسیب پذیری رو اصلاح کنه . 12 جولای هم با MITRE تماس گرفتن تا یه CVE براش اختصاص بده که در نهایت در 15 آگوست ، شناسه CVE-2023-38831 رو اختصاص داده. 20 جولای نسخه بتا اومد و 2 آگوست ، نسخه نهایی و اصلاح شده منتشر شد.

 

یافته های اصلی :

• محققای Group-IB Threat Intelligence ، یه آسیب پذیری زیرودی رو مشاهده کردن که از آوریل مورد اکسپلویت قرار گرفته.
• بازیگران تهدید با استفاده از این آسیب پذیری میتونن پسوندهای فایل رو جعل کنن. یعنی یه اسکریپت مخرب رو با پسوند txt یا jpg در یه آرشیو مخرب مخفی کنن.
• آسیب پذیری به RARLAB گزارش شد و نسخه اصلاح شده از WINRAR منتشر شد.
• آسیب پذیری به MITRE Corporation گزارش و شناسه CVE-2023-38831 دریافت کرد.
• از این آسیب پذیری برای توزیع بدافزارهای DarkMe, GuLoader, Remcos RAT استفاده شده.
• فایلهای ZIP در انجمن های تریدینگ توزیع شده.
• در زمان نگارش این پست، 130 دستگاه تریدر آلوده هستن. البته محققا اطلاعی از تعداد کل دستگاههای آلوده در این کمپین هارو ندارن.
• با آلوده شدن دستگاهها، مجرمین امکان برداشت پول از کارگزاری رو دارن. میزان خسارات مالی مشخص نیست.
• از این آسیب پذیری در کمپین DarkCasino که توسط NSFOCUS گزارش شده هم استفاده شده. (قسمت اول | قسمت دوم)
  
• محققا در ابتدا تصور کردن که این آسیب پذیری قدیمی و مرتبط با گزارش Danor Cohen در سال 2014 هستش. روشی که با دستکاری هدر ZIP ، امکان جعل پسوند رو میده. اما با تحقیقات بیشتر متوجه شدن که نه این یه آسیب پذیری جدید در WinRAR هستش.

 

دسترسی اولیه :

محققا در بررسی خانواده بدافزاری DarkMe ، با یسری فایل مشکوک ZIP مواجه شدن. این فایلهای ZIP ، در انجمن های عمومی تریدینگ که افراد در بحثها شرکت میکنن و اطلاعات مفیدی رو به اشتراک میزارن، توزیع شده بود. در اغلب موارد ، فایلها در پستها ضمیمه شده بود ، اما مواردی هم بود که از یه سرویس ذخیره فایل بنام catbox.moe استفاده کرده بودن. محققا این فایلهای مخرب رو در حداقل 8 فروم تریدینگ پیدا کردن.

 

 

با بررسی یکی از فرومها ، برخی از مدیران متوجه بدافزار بودن فایلها شدن و در نتیجه یه کاربران هشدار دادن. با وجود این هشدار، پستهای بیشتری ارسال شد و کاربران بیشتری تحت تاثیر قرار گرفتن. نکته جالب بعدی اینکه ، بازیگران تهدید حتی میتونستن اکانتهایی که توسط مدیر مسدود شدن رو هم از حالت مسدود ،خارج کنن.

 

 

فایلهای مخرب ZIP ، وقتی در دستگاه قربانی باز میشدن، یدافزاری رو اجرا میکردن که به گفته یکی از قربانی ها ، امکان انجام تراکنش در کارگزار رو به مهاجم میداد. محققا نتونستن این ادعا رو تایید کنن اما این تصادفی ندونستن. البته این برداشت ناموفق بوده و منجر به زیان 2 دلاری شده .

 

 

مجرمین این فایلهارو با عنوان ، “بهترین استراتژی شخصی برای ترید بیت کوین” یا اسکریپتهایی برای محاسبه شاخص های مختلف مانند Omnis averages.zip ، پست میکردن.

تمام فایهای فشرده ای که ساخته شده با این ترفند ارسال شدن و ساختار مشابهی هم داشتن. یعنی یه فایل جعلی بهمراه یه فولدر که توش یسری فایل مخرب و بدون استفاده قرار گرفته. قربانی با اجرای فایل جعلی ، که با فرمت txt یا jpg یا سایر پسوندها ایجاد شده ، یه اسکریپت رو اجرا میکنه.

 

 

 

 

آنالیز اکسپلویت آسیب پذیری :

همونطور که بالا اشاره شد، آسیب پذیری امکان جعل پسوند فایل رو میده. یعنی مهاجم میتونه یه اسکریپت مخرب ایجاد کنه و اونو با پسوند txt یا jpg یا پسوندهای دیگه رو داخل فایل مخفی کنه. مهاجمین یه فایل فشرده ZIP ، حاوی فایلهای مخرب و غیر مخرب ایجاد میکنن. قربانی وقتی فایل فشرده رو باز میکنه، معمولا یه فایل تصویری و یه فولدر به همون نام رو مشاهده میکنه.

 

 

اگه کاربر روی این فایل تصویری جعلی کلیک کنه، اسکریپتی اجرا میشه که مراحل بعدی حمله رو اجرا میکنه . شکل زیر خروجی Managed XDR از این مراحل هستش :

 

 

محققا متوجه شدن که ساختار این فایل ZIP دستکاری شده. دو تا فایل داخل این فایل فشرده هستش، یه اسکریپت و یه عکس. بجای باز شدن عکس، اسکریپت اجرا میشه که هدفش اجرای مراحل بعدی حمله هستش. اینکار با باز شدن یه پنجره کوچیک شروع میشه و در ادامه، دنباله دو فایل Screenshot_05-04-2023.jpg و Images.ico میگرده. فایل JPG تصویری هستش که قربانی در ابتدا بازش کرده و Images.ico یه فایل فشرده SFX CAB هستش که برای استخراج و اجرای فایلهای جدید، در نظر گرفته شده. در زیر یه نمونه از این اسکریپت رو مشاهده میکنید :

 

 

برای درک نحوه عملکرد آسیب پذیری ، محققا دو تا فایل فشرده دیگه ساختن که ساختار فایل کشف شده رو تقلید میکنه . هر دو تا دارای یه عکس و یه فولدر که توش یه اسکریپتی هست که یه متنی رو نمایش میده. بعدش یکی از این فایلهای فشرده رو دستکاری کردن تا شبیه فایل فشرده ای باشه که مهاجمین استفاده کردن و رفتار WinRAR رو در هر دو بررسی کردن.

چیزی که محققا دنبالش بودن این بود که موقع باز کردن این دو تا فایل فشرده، چه فایلهایی داخل فولدر %TEMP%/%RARTMPDIR% قرار میگیره. در فایل اصلی فقط image.jpg ایجاد شده بود، اما در فایل دستکاری شده، محتویات فولدر هم استخراج شده بود.

 

 

همونطور که در شکل بالا میبینید، در نسخه ای که دستکاری شده هر دو فایل استخراج شده و حمله تا حدودی موفقیت آمیز بوده. محققا علت آسیب پذیری رو بصورت مختصر بیان کردن.

قسمت اصلی حمله اونجاییکه WinRAR ، فایلی رو که قربانی میخواد بهش دسترسی داشته باشه رو باز میکنه. تابع ShellExecute پارامتر اشتباهی رو برای باز کردن دریافت میکنه. نام فایل تصویر با معیارهای جستجو مطابقت نداره و به جای پیدا کردن فایل عکس ، اسکریپت batch پیدا و اجرا میکنه.

 

 

 بدافزار DarkMe :

در اواسط سال 2022 ، محقای NSFOCUS نوعی بدافزار بنام DarkMe رو موقع بررسی کمپین DarkCasino کشف کردن. DarkMe یه تروجان جاسوسی ویژوال بیسیکی هستش که اولین بار در سپتامبر 2021 مشاهده شد. NSFOCUS اونو به یه گروه با انگیزه مالی بنام Evilnum نسبت داد که در هدف قرار دادن سازمانهای مالی معروفه.

 

 

فرایند راه اندازی DarkMe پیچیده هستش و شامل چندین ماژول هستش. در ابتدا اسکریپتی که قبلا بهش اشاره کردیم، فایل Cabinet Self-extractor رو اجرا میکنه. فایل Cabinet Self-extractor که معمولا بعنوان فایل SFX CAB شناخته میشه، نوعی فایل آرشیوی هستش که حاوی داده های فشرده شده هست و بصورت خودکار ، محتویاتش رو استخراج میکنه. این فایل آرشیو دارای 5 فایل هستش و فایلی که بعد از استخراج اجرا میشه ، cc.exe هستش.

 

 

همه فایلهای اجرایی به زبان ویژوال بیسیک نوشته شدن . فایل cc.exe با اینکه عملکرد کمی داره اما نقش مهمی رو در اجرای ماژولهای مختلف داره. این فایل چند تا فرم داره که دوتاشون یسری کنترلهای ActiveX خاصی رو دارن که در فایلهایی با پسوند ocx مشخص میشن. موقع اجرا، این کنترلها بصورت خودکار لوود و وظایف مخرب خودشون رو اجرا میکنن.

در نمونه بررسی محققا ، دو تا user control وجود داشته . یکیش مسئول رجیستر کردن یه شی COM در ویندوز بوده که کلیدهای رجیستری رو از فایل add.txt میگرفته و یه شی COM رو با CLSID مخرب در سیستم آلوده رجیستر میکرده. مقدار پیش فرض کلید InprocServer32 بوده با مسیری به یه DLL مخرب بنام Cabinet.ocx .

 

 

دومین کنترل ، یه فایل بنام Cabinet.ocx رو ایجاد میکنه که مسیرش در کلید رجیستری InprocServer32 قرار میگیره. محتویات این فایل داخل فایل fu.png و بعد از عبارت کلیدی tanzapinz1AM هستش.

 

 

هر دو کنترل بصورت همزمان اجرا و با یه تاخیر در هر ماژول اجرا میشن. در نهایت сс.exe خودش رو خاتمه میده و با دستور زیر بدافزار DarkMe رو اجرا میکنه :

 

 

همه نمونه های DarkMe که در داخل فایلهای ZIP کشف شدن،  از دامنه 87iavv[.]com بعنوان C2 استفاده میکردن، به غیر از یه مورد که از tganngs9[.]com استفاده میکرد. با استفاده از ابزار Graph Network Analysis ، محققا دو تا دامنه دیگه trssp05923[.]com و 12jyyu06[.]com در همون آدرس IP کشف کردن.

 

 

CloudEye معروف به GuLoader :

محققا در بررسی این کمپین ، یسری فایل ZIP رو هم پیدا کردن که بجای  SFX از اینستالرهای NSIS استفاده میکرد. اسکریپتهای NSIS معمولا به دلیل اینکه فراخوانی توابع غیرضروری زیادی دارن، کار تحلیل رو سخت میکنن. اما نکته جالب این بوده که بسته NSIS شامل اسکریپت NSIS با کامنت بوده که کار تحلیل رو آسون کرده. برخی کامنتها حتی حاوی کلمات ایتالیایی مانند SHELL_PATH_ETICHETTA یا FILE_VITALE هم بوده.

 

 

بعد از نصب اولیه، یسری اسکریپ پاورشل اجرا میشن که پیلود نهایی رو اجرا میکنن. محققا گفتن که  این اسکریپتها جوری طراحی شدن که درکش سخت باشه، اما با توجه به اینکه در این مرحله ضرورتی برای درکشون نیست، از اونا گذر کردن. بسته NSIS با اجرای اسکریپت پاورشل ذخیره شده در فایل Piskens.For187 که در داخل بسته هستش، اجرا رو شروع میکنه. این فرایند شامل دیکریپت و اجرای مرحله بعدی حمله یعنی اجرای CloudEye که به GuLoader هم معروفه ، هستش. بسته همچنین شامل یه فایل دیگه بنام Fibrolipoma.Ato هستش که اونم GuLoader هستش که خونده شده و بعنوان شلکد به تابع EnumResourceTypesW داده میشه.

 

 

در ادامه GuLoader با ارسال درخواست HTTP به hXXps://corialopolova[.]com/idSqdvTuMawZBj41.bin مرحله بعدی حمله رو اجرا میکنه. محققا اعلام کردن که از این دامنه بین 17 آوریل 2023 تا 18 جولای استفاده شده. بعد از اینکه پیلود دانلود شد، دیکریپت شده و اجرا میشه که همون بدافزار Remcos RAT هستش. این بدافزار هم از دامنه mmnedgeggrrva[.]com برای ارتباط استفاده میکنه.

 

انتساب کمپین:

محققا گفتن اگرچه بدافزار DarkMe رو کشف کردن که منتسب به گروه EvilNum هستش و با یه RAT معروف توزیع شده، اما نمیتونن بطور قطع این کمپین رو به این گروه با انگیزه مالی نسبت بدن. این احتمال وجود داره که ابزارهای مشابهی از یه توسعه دهنده در فرومهای زیرزمینی وجود داشته باشه.

 

IoC های گزارش :

 

فایلها :

 

دامنه ها :

آدرسهای IP :

مسیرهای رجیستری :

مسیر فایلها :

 

منبع