黑客正在向包含无害诱饵文件的 WinRAR 自解压文件中添加恶意功能，从而允许他们在不触发目标系统上的安全代理的情况下植入后门。

使用 WinRAR 或 7-Zip 等压缩软件创建的自解压存档 (SFX) 本质上是包含存档数据以及内置解压缩（用于解压数据的代码）的可执行文件。可以使用密码保护对这些文件的访问，以防止未经授权的访问。

使用 7-Zip 来源创建的受密码保护的 SFX 文件

网络安全公司 CrowdStrike 的研究人员在最近的事件响应调查中发现了 SFX 自解包文件的滥用行为。

野外的SFX攻击

Crowdstrike 的分析发现，一个对手使用窃取的凭据滥用“utilman.exe”，并将其设置为启动一个先前植入系统中的受密码保护的 SFX 文件。

Utilman 是一个辅助功能应用程序，可以在用户登录之前执行，经常被黑客滥用以绕过系统身份验证。

登录屏幕上的 utilman 工具

由 utilman.exe 触发的 SFX 文件受密码保护，并包含一个用作诱饵的空文本文件。

SFX 文件的真正功能是滥用 WinRAR 的设置选项来运行 PowerShell、windows 命令提示符 (cmd.exe) 和具有系统权限的任务管理器。

CrowdStrike 的 JAI Minton 仔细研究了所使用的技术，发现攻击者在目标提取存档文本文件后添加了多个要运行的命令。

虽然存档中没有恶意软件，但攻击者在设置菜单下添加了命令，用于创建 SFX 自解包存档文件，这将在系统打开一个后门。

WinRAR SFX 设置中允许后门访问

如上图所示，攻击者自定义了 SFX 存档，因此在提取过程中不显示对话框和窗口。攻击者还添加了运行 PowerShell、命令提示符和任务管理器的指令。

WinRAR 提供一组高级 SFX 选项，允许添加可执行文件列表以在进程之前或之后自动运行，以及如果存在具有相同名称的条目，则覆盖目标文件夹中的现有文件。

“因为这个 SFX 存档可以从登录屏幕运行，所以对手实际上有一个持久的后门，只要提供正确的密码，就可以访问它来运行 PowerShell、Windows 命令提示符和具有 NT AUTHORITYSYSTEM 权限的任务管理器。” Crowdstrike 解释道。

研究人员补充说：“这种类型的攻击很可能仍未被传统防病毒软件检测到，传统防病毒软件正在寻找存档内部的恶意软件（通常也受密码保护），而不是来自 SFX 自解包文件的行为。”

观察到的攻击链

Crowdstrike 声称恶意 SFX 文件不太可能被传统的 AV 解决方案捕获。在我们（bleepingcomputer.com）的测试中，Windows Defender 在我们创建自定义自解压存档以在提取后运行 PowerShell 时做出反应。

Microsoft 的安全代理将生成的可执行文件检测为跟踪为 Wacatac 的恶意脚本并将其隔离。然而，我们只记录了一次这种反应，无法复现。

研究人员建议用户特别注意 SFX 自解包档案文件，使用适当的软件来检查自解包存档文件的内容并寻找潜在的脚本或计划在提取压缩文件时运行的命令。

参考链接：
https://www.bleepingcomputer.com/news/security/winrar-sfx-archives-can-run-powershell-without-being-detected/