Een lek in WinRAR waardoor het bestandstype van bestanden die met ZIP zijn ingepakt is te vervalsen, wordt actief gebruikt om organisaties aan te vallen. Dat beweert beveiligingsbedrijf IntelCrawler. Deze week waarschuwde de Israëlische onderzoeker Danor Cohen voor de kwetsbaarheid.

Het ZIP-formaat bevat een veld genaamd 'filename' dat wordt gebruikt voor de bestandsnaam van een uit te pakken bestand in een ZIP-archief. WinRAR voegt bij het maken van een ZIP-archief een tweede veld 'filename' toe en gebruikt dit veld voor de weergave van de bestandsnaam in de WinRAR-gebruikersinterface. Een aanvaller kan het tweede 'filename' veld aanpassen om een bestand in de WinRAR-gebruikersinterface weer te geven, terwijl het in werkelijkheid om een ander bestand gaat.

Volgens Cohen was het probleem in WinRAR 4.20 en mogelijk andere versies aanwezig. Het Nationaal Cyber Security Centrum liet weten dat de kwetsbaarheid in versie 5.01 was opgelost. IntelCrawler claimt dat alle versies kwetsbaar zijn, waaronder ook versie 5.10, wat de meest recente versie is.

Aanvallen

Het beveiligingsbedrijf zou inmiddels verschillende berichten hebben ontdekt waarbij bedrijven, organisaties en overheidsinstellingen het doelwit waren. Het zou onder andere om luchtvaart- en Fortune 500-bedrijven gaan. De aanvallers versturen berichten die onder andere van de Raad van Europa afkomstig lijken en een met een wachtwoord beveiligde ZIP-bijlage bevatten.

De inhoud van het ZIP-bestand lijkt een afbeelding te zijn, maar is in werkelijkheid een uitvoerbaar bestand dat malware op de computer installeert. Naast de Raad van Europa worden ook Gmail, Hotmail en gehackte e-mailaccounts gebruikt om de kwaadaardige bijlagen te versturen. Als een doelwit het ingepakte bestand opent wordt er een Remote Administration Tool (RAT) geïnstalleerd en heeft de aanvaller volledige controle over de computer.