'WinRAR-lek actief gebruikt bij malware-aanvallen'
Een lek in WinRAR waardoor het bestandstype van bestanden die met ZIP zijn ingepakt is te vervalsen, wordt actief gebruikt om organisaties aan te vallen. Dat beweert beveiligingsbedrijf IntelCrawler. Deze week waarschuwde de Israëlische onderzoeker Danor Cohen voor de kwetsbaarheid.
Het ZIP-formaat bevat een veld genaamd 'filename' dat wordt gebruikt voor de bestandsnaam van een uit te pakken bestand in een ZIP-archief. WinRAR voegt bij het maken van een ZIP-archief een tweede veld 'filename' toe en gebruikt dit veld voor de weergave van de bestandsnaam in de WinRAR-gebruikersinterface. Een aanvaller kan het tweede 'filename' veld aanpassen om een bestand in de WinRAR-gebruikersinterface weer te geven, terwijl het in werkelijkheid om een ander bestand gaat.
Volgens Cohen was het probleem in WinRAR 4.20 en mogelijk andere versies aanwezig. Het Nationaal Cyber Security Centrum liet weten dat de kwetsbaarheid in versie 5.01 was opgelost. IntelCrawler claimt dat alle versies kwetsbaar zijn, waaronder ook versie 5.10, wat de meest recente versie is.
Aanvallen
Het beveiligingsbedrijf zou inmiddels verschillende berichten hebben ontdekt waarbij bedrijven, organisaties en overheidsinstellingen het doelwit waren. Het zou onder andere om luchtvaart- en Fortune 500-bedrijven gaan. De aanvallers versturen berichten die onder andere van de Raad van Europa afkomstig lijken en een met een wachtwoord beveiligde ZIP-bijlage bevatten.
De inhoud van het ZIP-bestand lijkt een afbeelding te zijn, maar is in werkelijkheid een uitvoerbaar bestand dat malware op de computer installeert. Naast de Raad van Europa worden ook Gmail, Hotmail en gehackte e-mailaccounts gebruikt om de kwaadaardige bijlagen te versturen. Als een doelwit het ingepakte bestand opent wordt er een Remote Administration Tool (RAT) geïnstalleerd en heeft de aanvaller volledige controle over de computer.
Een jpg zippen heeft helemaal geen zin als het gaat om de bestandsgrootte.
Het jpg formaat is namelijk al een slim gecomprimeerde afbeelding, daar kan nog maar weinig van de bestandsgrootte af.
bijvoorbeeld :
Image.jpg 512 kb
Image.jpg.zip 508 kb
Voor een .tiff file zou dat wel nog kunnen uitmaken.
bijvoorbeeld :
Image.tiff 4,2 mb
Image.tiff.zip 744 kb
In het geval van meerdere afbeeldingen (wegens max aantal toegestane bijlagen bijvoorbeeld), of een hele file folder,
kàn het handig zijn zip te gebruiken.
Niet zozeer omdat de bestandsgrootte zoveel kleiner is maar omdat het één enkel bestand oplevert dat makkelijker te verzenden is als mailbijlage.
Voor een fax in de vorm van één file in jpg formaat is gebruik van zip-verpakking dus helemaal niet nodig.
Als je een simpel (te verwachten klein) document in de vorm van een zip krijgt aangeboden is dat zeer waarschijnlijk onzin of misleiding, het is gewoon niet nodig.
Speel de vraag maar weer terug naar de verzender, leg maar uit waarom je de mailbijlage niet accepteert en vraag desnoods daarna om een normaal document.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
