威胁行为者利用 WinRAR SFX 添加不可检测的后门 媒体

• 2025-10-22 19:23:18

WinRAR 自解压档案的安全隐患研究

关键要点

根据 BleepingComputer 的报道，Crowdstrike 的网络安全研究人员分析发现，一些威胁行为者正在利用 WinRAR 的自解压档案功能，运行如 PowerShell 之类的可执行文件，而不被传统的杀毒软件侦测到。在进行事件响应调查时，Crowdstrike 的员工发现在受害者系统上存在一个密码保护的 SFX 文件，该文件是由敌对者利用被盗凭证，通过滥用 Utilman 应用程序触发的。Utilman 应用程序可以在用户登录之前执行，从而绕过系统的身份验证。

这个 SFX 文件包含一个假装为空的文本文件和在创建过程中输入的自定义命令，这些命令使其能够自动执行 PowerShell、命令提示符和任务管理器，同时提取文件而无需创建对话框或窗口。Crowdstrike 报告指出：“因为这个 SFX 档案可以在登录屏幕上运行，敌对者实际上拥有了一个持久后门，只要提供正确的密码，就可以使用 NT AUTHORITYSYSTEM 权限运行 PowerShell、Windows 命令提示符和任务管理器。”

进一步的信息

安全建议

通过全面了解这些安全威胁，用户和组织可以更好地防范潜在攻击，保护自身的数据安全。