Hacker khai thác lỗ hổng của máy chủ WinZip để phát tán phần mềm độc hại

[DDos]

Giao tiếp máy chủ-máy khách trong một số phiên bản của công cụ nén tệp WinZip là không an toàn và có thể bị tin tặc sửa đổi để lây lan phần mềm độc hại hoặc gửi nội dung lừa đảo tới người dùng.

WinZip là một tiện ích phổ biến, hỗ trợ người dùng Windows nén và giải nén dữ liệu, cũng như quản lý các tệp tin định dạng .zip, rar... được tích hợp trong hệ điều hành.

Công cụ này có sẵn các phiên bản dành cho macOS, Android và iOS và phiên bản dành cho doanh nghiệp. Theo trang web của hãng, ứng dụng này có hơn một tỷ lượt tải xuống.

WinZip 25 là phiên bản mới nhất, nhưng các bản phát hành trước đó sẽ kiểm tra máy chủ để tìm các bản cập nhật qua kết nối không được mã hóa, một điểm yếu có thể bị tin tặc khai thác.

Nhà nghiên cứu Martin Rakhmanov của công ty Trustwave SpiderLabs đã phân tích lưu lượng truy cập từ một phiên bản tồn tại lỗ hổng của WinZip để chứng minh rằng giao tiếp không được mã hóa.

Với việc không mã hóa kênh liên lạc, Rakhmanov cho biết kẻ tấn công có thể "điều khiển hoặc chiếm đoạt" lưu lượng truy cập trên cùng một mạng với người dùng WinZip.

Một rủi ro xuất phát từ hành động này là nhiễm độc DNS, đánh lừa ứng dụng tải bản cập nhật giả từ một máy chủ web độc hại. Do đó, người dùng có thể khởi chạy mã tùy ý vì cho rằng đó là một bản cập nhật hợp lệ.

Trên các phiên bản WinZip trả phí, kẻ tấn công cũng có thể lấy thông tin như tên người dùng và mã đăng ký.

Theo chuyên gia Rakhmanov, giao tiếp bằng clear-text cũng được sử dụng để hiển thị cửa sổ bật lên thông báo cho người dùng với phiên bản dùng thử miễn phí của WinZip về thời gian còn lại để thử nghiệm.

Nội dung trong cửa sổ bật lên là HTML sẽ tải các đoạn mã JavaScript để hiển thị thông tin trực tiếp từ các máy chủ WinZip. Điều này cho phép kẻ tấn công thay đổi nội dung tùy ý được hiển thị trên màn hình của người dùng.

Nhà nghiên cứu này cũng cho biết kẻ tấn công cũng có thể thực thi mã tùy ý trên máy của nạn nhân vì WinZip cung cấp một số API giàu tính năng cho JavaScript.

Với việc phát hành phiên bản WinZip 25, giao tiếp clear-text không còn xảy ra nữa. Người dùng nên nâng cấp lên phiên bản mới nhất của ứng dụng.

Do mỗi lần nâng cấp lên phiên bản mới, WinZip sẽ tính phí. Nếu không muốn nâng cấp lên phiên bản mới, bạn nên tắt kiểm tra cập nhật. Điều này sẽ ngăn máy khách truy vấn máy chủ WinZip về tính khả dụng của phiên bản mới.

Theo: bleepingcomputer​