CVE-2025-8088: WinRAR path traversal — эксплуатация через ADS

Новая критическая уязвимость в WinRAR получила идентификатор CVE-2025-8088 и оценку CVSS 8.4. Уязвимость затрагивает сборки WinRAR для Windows до версии 7.12 включительно, а также связанные компоненты, такие как UnRAR.dll и его portable source. Проблема связана с неправильной обработкой NTFS Alternate Data Streams (ADS) в созданных архивах: атакующий может поместить в архив видимый пользователю «безобидный» файл и одновременно встроить несколько записей ADS, часть которых содержит полезную нагрузку, а часть — фиктивные данные для запутывания обнаружения.

Что происходит при эксплуатации

При успешной эксплуатации злоумышленник добивается записи файлов вне ожидаемых путей извлечения — это открывает путь для скрытой доставки и выполнения вредоносных компонентов на целевой системе. Сообщается, что эксплойт продавался на криминальных форумах, а также использовался в реальных атаках.

Кто стоит за атаками

«ESET приписывает активную эксплуатацию российскому кластеру RomCom (также отслеживаемому как Storm-0978 / Tropical Scorpius / UNC2596).»

BI.ZONE сообщила о дополнительном использовании уязвимости актором, отслеживаемым как Paper Werewolf, который комбинировал CVE-2025-8088 с CVE-2025-6218 в фишинговых кампаниях против российских объектов.

Техническая суть уязвимости

Ключевая причина — некорректная обработка записей ADS в архивах. Архив может демонстрировать один основной файл, в то время как дополнительные ADS содержат реальную полезную нагрузку. При извлечении WinRAR/UnRAR может допустить запись этих потоков в произвольные пути вне целевой директории, что приводит к path traversal и последующему выполнению кода.

Наблюдаемые сценарии эксплуатации

Исследователи выделили три основные цепочки выполнения, использующие CVE-2025-8088:

• Цепочка Mythic — злоумышленник доставляет вредоносный файл .lnk, который загружает DLL в %TEMP%. Злоумышленники перехватывают регистрацию COM (PSFactoryBuffer) через манипуляции с реестром, чтобы заставить систему загрузить эту DLL. DLL расшифровывает и выполняет встроенный шеллкод, после чего имплантат подключается к инфраструктуре C2 с логикой таргетинга на основе домена.
• Вариант SnipBot — .lnk запускает троянскую версию PuTTY CAC (двoичный файл ApbxHelper.exe), которая выполняет проверки обхода песочницы (включая проверку активности «последних документов») перед загрузкой и выполнением вторичных полезных нагрузок с серверов, контролируемых злоумышленником.
• Цепочки RustyClaw / MeltingClaw — выполнение .lnk Complaint.exe (RustyClaw), которое извлекает дополнительные вредоносные модули и использует отдельную инфраструктуру C2 для модульного управления и дальнейших действий.

Почему это важно

Случай демонстрирует, что архивные утилиты остаются привлекательным вектором первоначального доступа и скрытой доставки полезной нагрузки. Успешная эксплуатация позволяет обойти привычные механизмы защиты (обычные расширения файлов, контроль целевых путей при извлечении) и использовать механизмы Windows (ADS, COM регистрации, .lnk) для повышения степени скрытности атаки.

Рекомендации по защите и обнаружению

• Немедленно обновить WinRAR/UnRAR до версий с исправлением уязвимости (проверять официальные релизы разработчика).
• Мониторить и фиксировать изменения в реестре, связанные с регистрацией COM-интерфейсов, в частности PSFactoryBuffer, — это индикатор возможного COM hijacking.
• Отслеживать аномальные операции с ярлыками (.lnk): их создание, запуск и нетипичные параметры запуска.
• Искать в %TEMP% и других временных каталогах несанкционированные DLL/файлы, а также подозрительные имена вроде ApbxHelper.exe.
• Контролировать процессы извлечения архивов на предмет неожиданного извлечения содержимого ADS и записи файлов вне целевых директорий.
• Ограничить автоматическое извлечение и выполнение содержимого из архивов в средах с повышенным риском (почтовые шлюзы, конечные точки сотрудников с внешним доступом).
• Блокировать известные домены и IP инфраструктуры C2 по мере появления IOC, а также анализировать сетевую телеметрию на предмет домен-ориентированного таргетинга.
• Проводить обучение пользователей по распознаванию фишинговых писем и опасных вложений; использовать мультифакторную аутентификацию и принцип наименьших привилегий.

Вывод

Уязвимость CVE-2025-8088 — очередное напоминание о том, что даже инструменты повседневного пользования (архиваторы) могут служить каналом для сложных и скрытных атак. Своевременное обновление ПО, внедрение детекции аномалий (COM hijacking, подозрительные .lnk, неожиданные извлечения ADS) и проактивная блокировка известной инфраструктуры злоумышленников — ключевые меры для снижения риска.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.