Hackerlar WinZip ile kötü amaçlı yazılım yükleyebilir

WinZip dosya sıkıştırma aracının belirli sürümlerindeki sunucu-istemci iletişimi güvensizdir ve kullanıcılara kötü amaçlı yazılım veya sahte içerik sunmak için değiştirilebilir. WinZip, işletim sistemindeki yerleşik desteğin ötesinde dosya arşivleme ihtiyaçları olan Windows kullanıcıları için uzun süredir devam eden bir yardımcı programdır.

Başlangıçta neredeyse 30 yıl önce piyasaya sürülen aracın artık macOS, Android ve iOS için sürümlerinin yanı sıra işbirliği özellikleri ekleyen bir kurumsal sürümü var. Web sitesine göre, uygulamanın bir milyardan fazla indirilmesi var.

Açık metin trafiği

WinZip şu andaki versiyonu sürüm 25, ancak önceki sürümler kötü niyetli bir aktör tarafından kötüye kullanılabilecek bir zayıflık olan şifrelenmemiş bir bağlantı üzerinden güncellemeler için sunucuyu kontrol edebiliyor.

Trustwave SpiderLabs’den Martin Rakhmanov Araştırmacı, trafiğin şifrelenmemiş iletişim olduğunu göstermek için aracın savunmasız bir versiyonundan yakaladı.

WinZip açık metin trafiği

İletişim kanalının güvensiz doğası göz önüne alındığında Rakhmanov, trafiğin WinZip kullanıcısıyla aynı ağdaki bir saldırgan tarafından “ele geçirilebileceğini veya manipüle edilebileceğini” söylüyor.

Bu eylemden kaynaklanan risklerden biri, uygulamayı kötü amaçlı bir web sunucusundan sahte bir güncelleme alması için kandıran DNS zehirlenmesidir.

Rakhmanov bugün bir blog gönderisinde, “Sonuç olarak kullanıcı, geçerli bir güncelleme gibi rastgele kod başlatabilir” dedi. Saldırgan, savunmasız olan kayıtlı WinZip sürümlerinde, kullanıcı adı ve kayıt kodu gibi potansiyel olarak hassas bilgileri de elde edebilir.

Rakhmanov, açık metin iletişiminin, WinZip’in ücretsiz deneme sürümüyle kullanıcılara ücretsiz kullanım için ne kadar zamanları kaldığını bildiren açılır pencereleri göstermek için de kullanıldığını söylüyor.

Pop-up’daki içerik, JavaScript’i ele alan HTML’dir. Bu, ağdaki bir saldırganın, kullanıcıları doğrudan WinZip sunucularından geliyormuş gibi görünen rastgele içeriğe maruz bırakmasına olanak tanır.

Araştırmacı, WinZip JavaScript’e bazı “güçlü” API’ler sunduğundan, bu senaryonun kurbanın makinesinde rastgele kod çalıştırma riskiyle birlikte geldiğini söylüyor. WinZip 25’in piyasaya sürülmesiyle, artık açık metin iletişimi gerçekleşmiyor. Kullanıcıların uygulamanın en son sürümüne yükseltmeleri tavsiye edilir.