CVE-2023-38831

Uma demonstração de POC da CVE-2023-38831

Breve descrição da vulnerabilidade

• A CVE-2023-38831 é uma vulnerabilidade de software.
• O software explorado é o WinRAR, que é amplamente utilizado por quase todos.
• É um software que ajuda a transformar diferentes documentos ou arquivos em pequenos arquivos (formato de arquivo zip), o que ajuda a economizar espaço e torna o compartilhamento de arquivos um processo mais fácil e rápido.
• Esta vulnerabilidade foi descoberta em abril de 2023.
• Ela afeta o sistema operacional Windows e a versão 6.22 e anteriores.
• Foi causada por uma função defeituosa nos códigos de backend do WinRAR chamada “winrar.7FF6CE909948”, que não verifica os parâmetros nem compara os nomes dos arquivos no diretório zip, permitindo que 2 arquivos idênticos, como “document.pdf” e um script bat chamado “document.cmd”, burlem a verificação e sejam extraídos.
• Requer interação do usuário para que a exploração seja bem-sucedida.

Como a vulnerabilidade funciona?

Demonstração do exploit

Primeira parte da exploração

A primeira metade ocorrerá na máquina do atacante para que a exploração comece.

1) Primeiramente, precisaremos criar a pasta de exploração contendo o anexo malicioso, “pdf”, o código python de exploração e o script bat usando o seguinte comando: “git clone https://github.com/HDCE-inc/CVE-2023-38831”

 

2) Isto é o que a pasta contém antes de qualquer exploração ocorrer,

1. um document.pdf, que serve para atrair a vítima a clicar no arquivo malicioso
2. um exploit.py para o código de exploração
3. script.bat para executar o script malicioso na máquina da vítima

 

3) Descobrindo o endereço IP da máquina Kali via ifconfig:

 

4) Modificaremos então o script existente no script bat para a seguinte linha de comando (imagem acima)

“start” serve para iniciar o processo na linha de comando, “/min” serve para minimizar o prompt de comando em segundo plano, ncat serve para iniciar a conexão com o endereço IP do atacante via porta 4444 e, por último, -e cmd.exe serve para executar a linha de comando no prompt de comando.

 

5) Isto mostra o código do exploit.py, explicado a seguir:

¹ refere-se à entrada do usuário com o nome do arquivo isca, que é document.pdf, o nome do arquivo de script, que é bat.script, e a saída com o nome do arquivo RAR que a vítima verá e, neste caso, nós o salvaremos como getrich.rar.

² refere-se às verificações feitas para validar se os arquivos existentes estão presentes na pasta CVE-2023-38831 na máquina Kali Linux com a convenção de nomenclatura correta e, se o nome estiver errado ou for um arquivo duplicado, uma mensagem de erro será exibida e o programa será interrompido e encerrado.

³ refere-se à criação de um destino temporário de arquivos usando os.mkdir() para armazenar o arquivo recém-criado antes de ser compactado em um arquivo e usado como área de trabalho.

⁴ refere-se a uma linha de cópia, shutil.copyfile, para copiar tanto o arquivo isca quanto o arquivo de script, que serão armazenados em seus respectivos diretórios dentro de “tmp”, garantindo que todos os arquivos necessários estejam corretos e no lugar antes de prosseguir para a próxima etapa. A próxima etapa, shutil.make_archieve, cria um arquivo a partir de “tmp” chamado “tmp.zip”, que contém tudo na pasta “tmp”.

⁵ refere-se ao sucesso da execução do código acima, que criou com êxito um arquivo RAR como exploit por meio da entrada do usuário com o nome do arquivo isca, do arquivo de script e do nome do arquivo de saída.

 

6) Depois de obter nosso endereço IP e modificar o script bat, podemos agora prosseguir para criar o “.rar” malicioso executando o comando “python exploit.py”

O exploit.py exigirá a entrada do usuário em 3 campos: o nome do arquivo isca existente, que é document.pdf, o nome do arquivo de script que modificamos anteriormente, que é script.bat, e um nome de arquivo RAR de saída para atrair a vítima a baixar e clicar no arquivo, o que requer um nome adequado e, neste caso, usamos “steps-to-generate-income.rar”. A CVE-2023-38831 está então pronta para explorar a máquina da vítima.

 

---

Segunda parte da exploração

A segunda metade ocorrerá tanto na máquina Kali quanto na máquina da vítima, que é uma VM do Windows 11.

1) Primeiro, criaremos um site malicioso ou enviaremos o anexo para a vítima.
No lado esquerdo, executaremos “python -m http.server 8080”. Este comando é um processo para capturar qual endereço IP acessa esta URL maliciosa, com o que podemos descobrir o endereço IP da vítima, e escuta diferentes requisições HTTP, como “200”, de um endereço IP específico. No lado direito, a vítima é atraída para este endereço IP e induzida a baixar o arquivo “steps-to-generate-income.rar”.

 

2) Assim que a vítima for atraída com êxito a baixar o arquivo malicioso “steps-to-generate-income.rar”, será exibido qual endereço IP baixou o arquivo junto com o intervalo de tempo. Com essas informações, podemos obter o endereço IP da vítima.

 

3) Em seguida, configuraremos um ncat na porta 4444 na máquina Kali, pois a porta 4444 deve sincronizar com a mesma porta escrita no script.bat a ser executado na máquina da vítima.
Assim que a vítima clicar no document.pdf, o bat.script executará a linha de comando e será minimizado em segundo plano em um instante, o que permite uma conexão de backdoor para o atacante.

 

4) Poderemos então executar diferentes comandos na máquina da vítima, como “C:\Windows” e depois “dir” para listar todos os diferentes executáveis armazenados.

Aqui estão três comandos que foram executados na máquina da vítima:

O primeiro comando, destacado como “1”, será “net user” para ver quantas contas existem e, a partir disso, podemos concluir que há apenas 1 conta, W11.

O segundo comando, destacado como “2”, é “systeminfo” para entender melhor a máquina da vítima e quais privilégios o usuário possui e, neste caso, é um privilégio de administrador.

O terceiro comando, destacado como “3”, será navegar por pastas aleatórias e, neste caso, executaremos comandos como “C:\Users\W11” e depois “dir” para saber que tipos de arquivos e pastas existem, depois “C:\Users\W11\Documents” e “dir” para saber o conteúdo do diretório Documents e, por sorte, este usuário salvou sua senha em um notepad.txt. Em seguida, exibimos os detalhes deste arquivo do Bloco de Notas na linha de comando para revelar as informações, “type secret.txt”. O resultado mostra que, a partir desta linha de comando, somos capazes de ler, escrever e editar arquivos na máquina da vítima, onde ações adicionais, como instalar um keylogger, também podem ser realizadas para tornar a máquina da vítima mais vulnerável e exposta a informações mais sensíveis.

5) Por fim, podemos criar um arquivo do Bloco de Notas na área de trabalho do usuário executando este comando
“echo "You've been hacked, please go to testingwebsite" > C:\Users\W11\D\hacked.txt” e o hacked.txt será criado na área de trabalho do usuário para mostrar à vítima que sua máquina foi explorada.

---

Estratégias de prevenção e mitigação

• Atualize para a versão mais recente do WinRAR, pois a vulnerabilidade afeta apenas a versão 6.22 e anteriores.
  • Prós : poder usar o software com segurança, desempenho do software melhorado
  • Contras: os recursos antigos da versão anterior podem ser removidos ou substituídos
• Implementar o princípio do menor privilégio para todos os sistemas.
  • Prós : restringir os direitos do usuário pode reduzir o impacto e diminuir o risco se um ataque ocorrer
  • Contras: é difícil ser consistente ao implementar o acesso com as permissões corretas para todos os usuários em grandes organizações, o que pode causar inconsistência e erros
• Praticar uma boa higiene cibernética e sempre fazer backup dos dados em uma fonte segura.
  • Prós : ser capaz de identificar phishing e sites suspeitos, evitar a perda de dados em caso de ataque
  • Contras: backups de dados desnecessários podem levar à redundância e inconsistência de dados que não são significativos para a organização
• Sempre instalar software antivírus como camada adicional de segurança.

---

Referências:

Chromium Docs - Severity Guidelines for Security Issues. (n.d.). Retrieved February 20, 2024, from https://chromium.googlesource.com/chromium/src/+/HEAD/docs/security/severity-guidelines.md#:~:text=High%20severity%20(S1)%20vulnerabilities%20allow,be%20rated%20as%20high%20severity.

Deland-Han. (2014, February 19). Dynamic link library (DLL) - Windows Client. Microsoft Learn. https://learn.microsoft.com/en-us/troubleshoot/windows-client/setup-upgrade-and-drivers/dynamic-link-library

Gillis, A. S. (2023, September 26). principle of least privilege (POLP). Security. https://www.techtarget.com/searchsecurity/definition/principle-of-least-privilege-POLP

GmbH, W. (n.d.). WinRAR 7.00 Final released. WinRAR Latest News. https://www.win-rar.com/singlenewsview.html?&L=0&cHash=c5bf79590657e32554c6683296a8e8aa&tx_ttnews%5Btt_news%5D=232

Lab, S. (2023, September 26). Analysis of CVE-2023-38831 Zero-Day vulnerability in WinRAR. Penetration Testing and CyberSecurity Solution - SecureLayer7. https://blog.securelayer7.net/analysis-of-cve-2023-38831-zero-day-vulnerability-in-winrar/

Patch management: benefits and best practices | Balbix. (2022, October 22). Balbix. https://www.balbix.com/insights/patch-management-benefits-and-best-practices/

Research, U. T. (2023, November 17). WinRAR CVE-2023-38831 Vulnerability: Malware Exploits & APT Attacks. https://www.uptycs.com/blog/cve-2023-38831-winrar-zero-day

Slavin, B. (2024, March 18). Common DMARC problems faced by users | DMARC Report. DMARC Report. https://dmarcreport.com/blog/common-dmarc-problems-faced-by-users/

ThreatLocker. (2023, September 11). WinRAR Remote Code Execution. ThreatLocker. https://www.threatlocker.com/blog/winrar-remote-code-execution

Traders’ Dollars in Danger: CVE-2023-38831 zero-Day vulnerability in WinRAR exploited by cybercriminals to target traders. (2023, August 23). Group-IB. https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/

Vulnera. (2023, November 16). DarkCasino: a new APT threat leveraging WinRAR vulnerability - VULNERA. VULNERA - Vulnerability Management. Simplified. https://vulnera.com/newswire/darkcasino-a-new-apt-threat-leveraging-winrar-vulnerability/