Tras leer este blog, me decidi a probar esta "vulnerabilidad" en el winrar que tenía en casa (que resultó ser la v5.01 y que es la descarga recomendada a día de hoy).
Lo primero que comprobé es que es cierto que aparecen dos veces los nombres de los ficheros, uno de ellos (el "primer nombre") al principio del fichero y otro (el "segundo nombre") justo al final. Sin embargo en la versión 5.01 el comportamiento es diferente al explicado en el blog antes mencionado.
En el caso de la version 5.01 de Winrar el "primer nombre" del que se habla en an7isec no se utiliza para nada, hasta el punto de que si se borra por completo, el fichero ZIP sigue siendo perfectamente válido.
Esto quiere decir que tanto para la previsualización como para la extracción final del fichero se utiliza el "segundo nombre".
Se puede modificar este segundo nombre, por supuesto, pero si por ejemplo a un ejecutable le ponemos una extensión PNG, el sistema operativo intentará abrir el ejecutable con el visor de imágenes resultando inútil el cambio realizado. Es igual que si le cambiáramos la extensión o el nombre ANTES de comprimir el fichero.
Y como muestra, un botón:
Como no tenía un malware a mano, hice la prueba con el socorrido putty.exe. Tras crear un fichero ZIP con Winrar de dicho ejecutable, al abrirlo con un editor hexadecimal vemos que, ciertamente tiene un primer nombre:
...y un segundo nombre:
Comprobamos que, si eliminamos por completo el primer nombre:
...no pasa nada:
...y si le cambiamos la extensión al ejecutable "malicioso":
...nos lo intentará abrir con el visualizador por defecto para esa extensión:
Con lo cual podemos sugerir que con las versiones actuales de Winrar podemos estar tranquilos.
No hay comentarios:
Publicar un comentario