病毒预报  第七百八十二期

国家计算机病毒应急处理中心通过对互联网的监测发现了一款WinRAR远控木马病毒，该木马利用WinRAR远程代码执行漏洞CVE-2018-20250下发远控木马的攻击。攻击者向钓鱼目标发送一个文件名为“data-简历.zip”的压缩包，压缩包中包含一个存在漏洞的ACE格式的压缩文件，一旦解压该压缩文件，压缩包中的远控木马将被释放到启动目录下，计算机重新启动之后，远控木马将运行。

该压缩包中除了包含存在漏洞的ACE压缩文件之外，还包含一个通过RLO实现文件名倒置的远控木马。该木马实际是个scr文件后缀的远控木马，文件名倒置前为“RLOgpj.求要历简.scr”，倒置并隐藏文件后缀后为“简历要求.jpg”，通过文件名倒置迷惑钓鱼目标，诱导目标双击运行木马。

除了scr文件后缀的木马之外，当钓鱼目标解压压缩包中的ACE压缩文件之后也会中招。解压后远控木马windowsupdate.exe会被释放到启动目录下，计算机重新启动之后木马将运行，该木马与上文提到的scr后缀的木马相同，都是开源远控木马QuasarRAT的变种。攻击者在一个钓鱼压缩包中用两种不同的方式下发木马以保证攻击的成功率。

针对该恶意程序所造成的危害，建议用户做好安全防护，近期应格外注意其他人发来的压缩包文件，谨防这类漏洞攻击。同时安装安全防护软件，并将病毒库版本升级至最新版，以免使电脑受到该恶意程序的危害。

联系方式：
国家计算机病毒应急处理中心
计算机病毒防治产品检验中心