ronf98/cve-2023-38831-pocCVE-2023-38831은 공격자가 아카이브 내 악성 파일을 위장하여 사용자가 유해 콘텐츠를 실행하도록 속일 수 있는 WinRAR 제로데이 취약점입니다.
CVE-2023-38831은 WinRAR 6.23 이전의 모든 버전에 영향을 미치는 제로데이 취약점입니다.
문제는 ZIP 형식을 처리하는 과정에서 발생하며, 공격자가 취약한 아카이브를 이용해 악성코드를 유포할 수 있습니다. 악의적인 행위자는 ZIP 아카이브 내에서 정상 파일과 유사한 이름을 가진 악성 파일을 숨겨 사용자가 안전한 파일을 여는 것처럼 착각하게 만들어 유해한 콘텐츠를 실행하도록 속일 수 있습니다. 이 결함은 2023년 4월부터 적극적으로 악용되어 왔으며, 특히 금융 부문을 표적으로 삼아 신뢰할 수 없는 압축 파일을 여는 사용자에게 상당한 위험을 초래합니다. WinRAR 6.23 이상으로 업그레이드하면 추출 중 파일 이름 정화 기능이 개선되어 이 취약점이 완화됩니다.
다음 예제에서는 제공된 모든 파일을 하나의 폴더에 다운로드하고, CMD를 통해 스크립트를 실행한 후 적절한 파일 이름(익스플로잇 포함)을 지정하고, 마지막으로 .rar 아카이브에 임의의 파일을 추가하여 더 진짜처럼 보이게 하고 새로운 .txt 익스플로잇을 더 잘 숨겼습니다. 사용자가 ".txt" 파일이라고 생각되는 것을 클릭하면 동일한 폴더에 있는 일치하는 이름의 숨겨진 .cmd 파일이 실행됩니다:
https://github.com/user-attachments/assets/91eed756-bb38-42dd-a127-cabaccb4c386
이 아이디어를 활용하여 파일을 최대한 효과적으로 위장하고 사용자에게 긴급하거나 중요한 것처럼 보이게 할 수 있습니다. 다음 예제에서는 .rar 아카이브를 더 합법적으로 보이게 하기 위해 여러 개의 임의 파일을 추가했습니다. "INSTRUCTIONS - Open Before Extraction"이라는 이름의 기본 .txt 파일을 미끼로 사용하여 사용자가 클릭하도록 유도했습니다:
제공된 파이썬 스크립트를 사용하여 자신만의 RAR 파일을 만들 수 있으며, 이를 통해 이 익스플로잇의 논리를 이해할 수 있습니다.
1단계 - exploit.py 및 DoS.cmd 파일을 다운로드합니다.
2단계 - 이 파일들을 모두 한 폴더에 넣고 임의의 미끼 파일을 선택합니다. 이 POC에서는 간단한 .jpg 파일을 사용하겠습니다.
3단계 - 스크립트를 실행하고 필요한 이름을 입력합니다.
스크립트는 다음과 같이 작동합니다:
제공된 파일 이름과 확장자를 가져옵니다.
임시 폴더를 만들고 스크립트는 하위 폴더 안에, 미끼 파일은 그 밖에 배치합니다. 두 파일은 이름이 비슷하며, 폴더 이름에는 "X"가, 미끼 파일 이름에는 "Y"가 추가됩니다:
그런 다음 임시 폴더에서 ZIP 파일을 만들고, 바이너리 모드로 연 다음 "X"와 "Y" 문자를 공백으로 변경하여 동일한 파일인 것처럼 보이게 수정합니다.
수정된 데이터를 .rar 파일에 기록합니다.
ProcessMonitor와 같은 프로그램을 사용하면 WinRAR이 파일을 실행할 때의 정확한 단계를 확인할 수 있습니다:
문제는 "image.jpg "(미끼)와 "image.jpg .cmd"(악성 스크립트)라는 거의 동일한 이름을 가진 두 파일이 포함된 아카이브로 인해 발생하는 모호성에서 비롯됩니다. 추가 공백이 유사한 기본 이름을 만들어 WinRAR과 Windows 모두 파일 경로를 확인하는 방식을 혼동시킵니다. "image.jpg "를 클릭하면 WinRAR이 기본 이름이 유사하기 때문에 임시 폴더에 관련된 모든 파일을 읽고 생성합니다:
모호성을 해결하기 위해 WinRAR은 image.jpg .*에 대한 와일드카드 검색(QueryDirectory)을 수행하여 실행 가능한 파일 형식을 찾고 다른 관련 파일이 없는지 확인합니다. WinRAR(및 Windows)은 모호한 경로를 확인할 때 항상 실행 파일 형식(예: .cmd, .exe, .bat)을 우선시합니다. 결과적으로 cmd.exe를 사용하여 "image.jpg .cmd"를 실행(Create Process)하여 미끼 파일을 기본 이미지 뷰어에서 여는 대신 악성 스크립트가 실행되도록 합니다.
WinRAR은 6.23 버전에서 이 문제를 해결했으며, 사용자들은 최신 버전으로 업데이트할 것을 강력히 권장합니다.
https://www.win-rar.com/singlenewsview.html?&L=0&tx_ttnews%5Btt_news%5D=232
