WinRARSFX自解包文件可以运行PowerShell而不

　　黑客正在向包含无害诱饵文件的WinRAR自解压文件中添加恶意功能，从而允许他们在不触发目标系统上的安全代理的情况下植入后门。
　　使用WinRAR或7Zip等压缩软件创建的自解压存档（SFX）本质上是包含存档数据以及内置解压缩（用于解压数据的代码）的可执行文件。可以使用密码保护对这些文件的访问，以防止未经授权的访问。
　　使用7Zip来源创建的受密码保护的SFX文件
　　网络安全公司CrowdStrike的研究人员在最近的事件响应调查中发现了SFX自解包文件的滥用行为。野外的SFX攻击
　　Crowdstrike的分析发现，一个对手使用窃取的凭据滥用utilman。exe，并将其设置为启动一个先前植入系统中的受密码保护的SFX文件。
　　Utilman是一个辅助功能应用程序，可以在用户登录之前执行，经常被黑客滥用以绕过系统身份验证。
　　登录屏幕上的utilman工具
　　由utilman。exe触发的SFX文件受密码保护，并包含一个用作诱饵的空文本文件。
　　SFX文件的真正功能是滥用WinRAR的设置选项来运行PowerShell、Windows命令提示符（cmd。exe）和具有系统权限的任务管理器。
　　CrowdStrike的JaiMinton仔细研究了所使用的技术，发现攻击者在目标提取存档文本文件后添加了多个要运行的命令。
　　虽然存档中没有恶意软件，但攻击者在设置菜单下添加了命令，用于创建SFX自解包存档文件，这将在系统打开一个后门。
　　WinRARSFX设置中允许后门访问
　　如上图所示，攻击者自定义了SFX存档，因此在提取过程中不显示对话框和窗口。攻击者还添加了运行PowerShell、命令提示符和任务管理器的指令。
　　WinRAR提供一组高级SFX选项，允许添加可执行文件列表以在进程之前或之后自动运行，以及如果存在具有相同名称的条目，则覆盖目标文件夹中的现有文件。
　　因为这个SFX存档可以从登录屏幕运行，所以对手实际上有一个持久的后门，只要提供正确的密码，就可以访问它来运行PowerShell、Windows命令提示符和具有NTAUTHORITYSYSTEM权限的任务管理器。Crowdstrike解释道。
　　研究人员补充说：这种类型的攻击很可能仍未被传统防病毒软件检测到，传统防病毒软件正在寻找存档内部的恶意软件（通常也受密码保护），而不是来自SFX自解包文件的行为。
　　观察到的攻击链
　　Crowdstrike声称恶意SFX文件不太可能被传统的AV解决方案捕获。在我们（bleepingcomputer。com）的测试中，WindowsDefender在我们创建自定义自解压存档以在提取后运行PowerShell时做出反应。
　　Microsoft的安全代理将生成的可执行文件检测为跟踪为Wacatac的恶意脚本并将其隔离。然而，我们只记录了一次这种反应，无法复现。
　　研究人员建议用户特别注意SFX自解包档案文件，使用适当的软件来检查自解包存档文件的内容并寻找潜在的脚本或计划在提取压缩文件时运行的命令。
　　参考链接：https：www。bleepingcomputer。comnewssecuritywinrarsfxarchivescanrunpowershellwithoutbeingdetected