winDED

Exploit personalizado para CVE-2023-38831 usando Python.

Introdução:

WinRAR é um software de arquivamento que permite aos usuários criar arquivos compactados e versões zipadas de arquivos e pastas para que possam transportá-los facilmente ou armazená-los com tamanho reduzido. Quer dizer, você já ouviu falar dele, com certeza. Ele incorpora checksums para garantir a integridade dos arquivos, facilitando o uso de arquivos ou pastas compactadas. Também emprega criptografia opcional. Mas como sabemos, nada é realmente seguro.

A vulnerabilidade do WinRAR, também conhecida como CVE-2023-38831, foi descoberta em abril de 2023 por um pesquisador de segurança, que atende pelo nome "Goodbyeselene", ao analisar o código do WinRAR. A vulnerabilidade é um problema lógico no extrator de arquivos do WinRAR que pode permitir que um invasor execute código arbitrário no computador da vítima e existe porque o WinRAR lida incorretamente com certas extensões de arquivo ao extrair arquivos de arquivos ZIP.

Consulte este documento para obter uma compreensão mais aprofundada sobre a vulnerabilidade do WinRAR.

Para explicação do exploit, verifique exploit_with_comments.py.

Como explorar

1. Preferencialmente em um sistema Windows virtualizado, instale o WinRAR versão 6.21.0. Link para baixá-lo aqui.

NOTA: NÃO, repito, NÃO, use esta versão para o WinRAR da sua máquina pessoal. Ela é vulnerável. Por favor, obtenha a versão mais recente do WinRAR aqui para sua máquina pessoal.

NOTA 2: Eu não sou o autor/hospedeiro e não sou responsável pelo arquivo que você baixar de https://filehippo.com/download_winrar-64/6.21/ para a versão 6.21 do WinRAR. Sinta-se à vontade para pegar sua própria versão. Use uma VM!

2. Baixe BILLION_DOLLAR_SECRET.pdf (Ou crie seu próprio pdf e nomeie-o igual).

3. Baixe super_sneaky_evil_script.bat (Ou crie seu próprio arquivo bat e nomeie-o igual).

4. Execute exploit_with_comments.py OU just_the_exploit.py.

5. Abra o arquivo zip recém-criado (o nome será BILLION_DOLLAR_SECRET.rar). Clique duas vezes no segundo arquivo pdf, não na pasta, que você vê. Isso deve executar o conteúdo do super_sneaky_evil_script.bat e abrir uma instância da calculadora e também abrir o pdf. Consulte a captura de tela abaixo.

Referências e Citações

1. https://www.bleepingcomputer.com/news/security/winrar-zero-day-exploited-since-april-to-hack-trading-accounts/
2. https://www.rapid7.com/db/modules/exploit/windows/fileformat/winrar_cve_2023_38831/
3. https://github.com/rapid7/metasploit-framework/blob/master//modules/exploits/windows/fileformat/winrar_cve_2023_38831.rb
4. https://winrar.en.uptodown.com/windows/versions
5. https://b1tg.github.io/post/cve-2023-38831-winrar-analysis/
6. https://isc.sans.edu/diary/Analysis+of+RAR+Exploit+Files+CVE202338831/30164/