CVE-2023-38831漏洞風險全解析！深入探討 WinRAR 漏洞原因、POC 概念驗證過程，以及惡意壓縮檔的執行機制。建議盡快更新 WinRAR 至最新版本等改善措施，確保系統與檔案安全。
MITRE於今年8月15日發布了CVE-2023-38831漏洞，此為WinRAR程式的漏洞，被使用於DarkMe、GuLoader、Remcos RAT等惡意程式中。
漏洞介紹
最開始是Group-IB發現在許多知名論壇中被發布了惡意的zip檔案，且有受害者發生加密貨幣帳戶金額被盜等情況，並追查到至少在四月時，已經開始被拿來利用在地下論壇進行交易。
這個漏洞可以利用各種檔案格式來執行，可以偽裝成.jpg .txt等格式。惡意zip檔案中包含兩個同樣名稱的資料夾與文件(可以是任何格式包含.jpg)，點擊偽裝文件之後，就會執行藏在資料夾裡的腳本檔案。腳本內容會啟動SFX CAB檔案，用這種方式載入惡意程式感染電腦。
漏洞原因
這個漏洞的原因是，WinRAR的ShellExecute函數在點擊惡意文件時接收到了錯誤的參數，比對不到符合的文件名稱，就會轉為尋找目標文件中的腳本檔案執行，因此造成不去打開文件反而執行腳本檔案。
POC概念驗證
網路上已經有許多可以利用的POC (Proof of Concept)工具，可以用來復現WinRAR的CVE-2023-38831漏洞，以下是使用WinRAR 6.21版本。
如下圖我們準備了一個舊版本的WinRAR以及腳本檔案(圖一)，並使用了POC工具產生Open.rar檔案(圖二)。
圖一 : WinRAR版本以及bait.bat腳本內容
圖二 : POC執行畫面
接著我們將rar檔案搬移到沒有其他檔案的資料夾(圖三)，利用WinRAR打開檔案後點擊Readme.txt(圖四)，就會直接執行腳本檔案(圖五)。
圖三 : Open.rar所在位置
圖四 : 執行WinRAR檔案
圖五 : 自動執行腳本檔案
不過這個漏洞只可以讓腳本檔案在不被使用者發現的狀況下被使用者帶起，腳本本身指令若含有惡意仍舊會被defender偵測(圖六)。
圖六 : 點擊NN.txt的狀況
改善措施
要改善這個漏洞的方式就是盡快更新WinRAR版本到6.23以上，並且做好安全意識不要隨意點擊未知來源的檔案。WinRAR在7月20日就上了beta patch版本，並且在8月2日就出了新的WinRAR版本。
時間軸
2023/04 已發現利用此方式惡意活動的跡象
2023/07/10 Group-IB Threat Intelligence發現漏洞被利用在DarkMe惡意程式
2023/07/20 WinRAR beta patch
2023/08/02 WinRAR version 6.23
2023/08/15 發布CE-2023-38831
有任何資安問題，歡迎隨時與NEITHNET團隊聯繫！
參考資料：
https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/
