WINRAR - Ce qu'il faut savoir et pourquoi il est impératif d'effectuer les mises à jour

[Parisien_entraide]

2024-05-17_153516.jpg

Sur le site il y a le tuto
Comment ouvrir décompresser -fichier rar
https://www.malekal.com/comment-ouvrir- ... chier-rar/





CAS CONCRET de délivrance d'un Stealer avec un programme qui n'est pas à jour : WINRAR

Si on ne cite qu'un exemple de l'utilité d'un programme de mise à jour logiciel, on peut citer le cas récent de de WinRar, qui apparait encore dans des versions 5.x installées (et souvent crackée au passage), dans les rapports FRST des personnes infectées sur le forum et ce même en 2024


L'explication est simple : WinRar ne dispose pas de mécanisme de mise à jour automatique
Comme il a été dit :

L'exploitation à grande échelle du bogue WinRAR montre que les exploits de vulnérabilités connues peuvent être très efficaces, même si un correctif est disponible.

Une faille était exploitée activement depuis au moins le mois de mars 2023, surtout par l' infostealer Rhadamanthys
( Trojan stealer : https://www.malekal.com/trojan-stealer/) et a été corrigée le 2 août 2023, avec la version 6.23


Du reste la faille est exploitée AUSSi avec les cracks, keygen, programmes de triche... (Mais c'est juste un aspect, car il ne suffit pas de se mettre à jour pour penser être à l'abri des programmes malveillants, qui utilisent diverses procédures)
viewtopic.php?p=544690#p544690


MAIS toutes les versions inférieures jusqu'à la version 6.22 sont faillibles ET exploitées



L'infection était facile, il suffisait d'ouvrir une archive .RAR ou .ZIP, même contenant une simple image, vérolée pour exécuter du code sur votre PC, à votre insu, et potentiellement en prendre le contrôle.

Dans le légal cela pouvait être une image, un fichier .pdf, .txt, pif, .com, .exe, .bat, .lnk, .cmd
Dans l'illégal cela se trouvait souvent dans l'archive crack.rar contenant un fichier .txt, ce qui rassurait l'utilisateur qui n'y voyait qu'un fichier inoffensif (ou plus rarement un .pdf)
On l'a retrouvé également dans les archives .iso de jeux, programmes, et.. logiciels de triche (crackés ou pas car certains sites légaux étaient compromis) et.. de Windows



Détails à
https://googleprojectzero.github.io/0da ... 38831.html
https://blog.google/threat-analysis-gro ... erability/

LNK Malware : ce qu’il faut savoir
https://www.malekal.com/lnk-malware/


--------------------

Edit du 8 mai 2024


Début 2024, des groupes de cybercriminels ayant dans le collimateur "de grandes cibles" ont exploité les vulnérabilités des logiciels d'accès à distance et de WinRAR.

Pour rappel l'une de ces vulnérabilités à la mi-2023 était - CVE-2023-38831.
Ensuite, les développeurs de WinRAR ont éliminé la possibilité d'exécuter du code malveillant sous Windows.

Quelques jours après la sortie des correctifs, CVE-2023-38831 il avait déjà été remarqué dans des attaques contre des traders .
Et le mois suivant, les attaquants ont publié un faux exploit pour une faille dans WinRAR , qui distribuait le cheval de Troie VenomRAT sur GitHub.

Les experts de Kaspersky Lab ont étudié les données sur les attaques des groupes APT pour la période 2023 - début 2024. Il s’est avéré qu’au premier trimestre 2024, les cybercriminels exploitaient le plus souvent des failles qui leur permettaient d’injecter des commandes et de contourner l’authentification.

Outre WinRAR et les outils de contrôle d'accès (par exemple, Windows SmartScreen), les attaquants se sont intéressés au logiciel Français Ivanti (https://www.ivanti.com/fr/) , où deux vulnérabilités ont été récemment découvertes : CVE-2024-21887 et CVE-2023-46805.

2024-05-17_153633.png

Les trous dans WinRAR ont pris la troisième place en termes de fréquence d'exploitation. L'efficacité de leur utilisation dans des cyberattaques ciblées s'explique par le fait que la victime sélectionnée ne peut pas toujours reconnaître les fichiers archivés suspects et le fait que celui ci ne propose pas de mises à jour automatique
(On le voit sur le forum avec des utilisateurs encore en version 5.x et en plus crackée)

En plus du CVE-2023-38831 déjà mentionné dans WinRAR, les attaquants sont tombés amoureux des failles CVE-2017-11882 et CVE-2017-0199 dans MS Office.

2024-05-17_153729.png

ALTERNATIVES
il y a NanaZip et/ou 7Zip
NANAZIP ou 7ZIP ? Lequel choisir ?
viewtopic.php?p=554706

Tutos du site

NanaZip : compresser/décompresser des fichiers ZIP, 7zr ou RAR
https://www.malekal.com/nanazip-compres ... zr-ou-rar/

7-Zip : comment compresser/décompresser des fichiers ZIP, RAR, 7z, ISO
https://www.malekal.com/7zip-compresser ... ar-7z-iso/

7-Zip : Tous les exemples d’utilisation en ligne de commandes
https://www.malekal.com/7-zip-tous-les- ... -commande/

[Parisien_entraide]

2024-05-17_155929.png

WinRAR est sortie en version finale 7.01


Liste des changements (lâche copier coller mal traduit :-)

Code : Tout sélectionner

- La mise à jour d'un fichier crypté dans une archive RAR sécurisée a entraîné une corruption de l'archive. Si le fichier mis à jour était le premier de l'archive, aucun mot de passe n'a été spécifié lors du démarrage de la mise à jour et le cryptage du nom de fichier n'a pas été activé dans l'archive mise à jour.
- WinRAR 7.00 s'est écrasé après le passage en mode d'affichage de dossier plat à partir d'un sous-dossier de l'archive
- Le commutateur -ep4 a dupliqué le chemin spécifié au lieu de l'exclure lors de l'extraction
- Si une archive créée avec une version Unix RAR contenait des liens symboliques avec des séparateurs de chemin dans les chemins cibles, ces caractères pourraient être rompus lors de la modification d'une telle archive avec Windows RAR.
- Des noms de fichiers invalides sont apparus dans les messages d'erreur WinRAR pour renommer et exécuter des fichiers
- La commande SFX "Link" ne reconnaissait pas les paramètres vides tels que "Link=D", "folder", alors qu'elle reconnaissait correctement les paramètres sans guillemets tels que "Link=D,,folder".
- La reconstruction du volume ne fonctionnait pas dans WinRAR.exe lorsque la commande « rc » était spécifiée avec un fichier .rev, par ex. Par exemple, « WinRAR rc arc.part1.rev ». Contrairement à RAR, WinRAR ne devait utiliser ici que le nom du fichier .rar.

Lien direct de la version FR
https://www.rarlab.com/rar/winrar-x64-701fr.exe

Sinon https://www.rarlab.com/download.htm (Où on trouve des versions en Catalan, Basque, mais .. pas en Breton (Ben alors vous foutez quoi ? :-) et toutes les principales autres langues (sauf le Klingon)

On peut changer les thèmes également (thème Alladin pour l'image du dessus). L'installation se fait toute seule, il suffit ensuite d'aller dans les paramètres de WinRar pour appliquer le thème choisi
Thèmes
https://www.rarlab.com/themes.htm

2024-05-17_160218.png

[Parisien_entraide]

2024-08-13_123007.png

Juste un rappel et cela est valable pour tous les sites où il y a des programmes à télécharger ou des données personnelles à fournir


Les cybercriminels misent sur nos erreurs de frappe pour vous attirer dans leurs filets.
Jusqu'à ces dernières 24h il existait le site (il a été bloqué depuis donc je le met en "clair")

Code : Tout sélectionner

https://win-rar.co/

au lieu de

Code : Tout sélectionner

https://www.win-rar.com/

Cela exploite donc une faute de frappe (oubli du "m" du .com)
Une fois arrivé sur le site tout est l'identique, (voir image ci dessus) sauf.. ce que vous allez télécharger

C'est ce que l'on appelle du typosquatting

Typosquatting : Attaque par de faux sites malveillants
https://www.malekal.com/typosquatting/

Même si la liste n'est pas à jour (je fais ressortir l'essentiel) car il en sort une vingtaine minimum par jour, dans le domaine FR cela donne une idée
viewtopic.php?p=552315#p552315

Donc soyez vigilants !