Fallo en WinRAR puede llenar tu computadora con virus

Hace poco se descubrió que el famoso programa para descomprimir archivos, WinRAR, sufría desde hacía casi 20 años una importante vulnerabilidad que ponía en jaque la seguridad de los equipos. El problema se producía gracias a una antigua biblioteca desarrollada por terceros llamada UNACEV2.DLL, utilizada por WinRAR para extraer archivos comprimidos en extensión ACE. WinRAR no detecta el formato del archivo por la extensión si no por el contenido, por lo que simplemente cambiando la extensión .ace a .rar puede pasar completamente desapercibido.

Hace unos días, un investigador de McAfee desveló que la empresa de seguridad identificó 100 exploits en la primera semana desde que se reveló la vulnerabilidad. Hasta ahora, la mayoría de los objetivos iniciales se encontrarían en Estados Unidos. Un ejemplo reciente en una copia pirata del álbum de Ariana Grande “Thank U, Next” con un nombre de archivo “Ariana_Grande-thank_u,_next(2019)_[320].rar”. Cuando se utiliza una versión vulnerable de WinRAR para extraer el contenido de este archivo, se crea una carga maliciosa en la carpeta de inicio entre corchetes. Lo peor del caso es que al usuario no le aparece ningún tipo de aviso, por lo que cuando el sistema se reinicia se ejecuta el malware.

Las capturas de pantalla incluidas en el post muestran que el archivo malicioso extrajo archivos MP3 sin vulnerabilidades a la carpeta de descarga del objetivo. Sin embargo, bajo el capó, el archivo RAR también extrajo un archivo titulado “hi.exe” a la carpeta de inicio. Una vez reiniciada la computadora, se instaló un troyano genérico que, según el servicio VirusTotal de Google, fue detectado por solo nueve proveedores de antivirus.

La parte negativa es que el archivo RAR de Ariana Grande que contiene la vulnerabilidad identificada por McAfee está circulando actualmente en servicios de descarga de BitTorrent. También se anuncia en Twitter. Si usas habitualmente WinRAR tienes que asegurarte inmediatamente que estás utilizando la versión 5.70. Cualquier otra es vulnerable a estos ataques.