Orosz kiberbűnözők hónapok óta visszaélnek egy kritikus WinRAR 0-day sebezhetőséggel, amelynek révén már egyetlen fertőzött archívum megnyitása is kártékony program telepítéséhez vezethet. Az ESET biztonsági cég július 18-án észlelte először a támadásokat, majd július 24-re azonosította, hogy a forrás egy addig ismeretlen WinRAR-hiba. A fejlesztők hat nappal később kiadták a javítást, de addigra a kártevők már célzott szervezeteknél is megjelentek.
A CVE-2025-8088 azonosítót kapott sérülékenység a Windows alternatív adatfolyam-kezelését és egy path traversal hibát kombinál, így képes kártékony fájlokat a rendszer kritikus, végrehajtható mappáiba telepíteni. Az ESET szerint a támadás mögött a RomCom nevű, Oroszországból működő, pénzügyileg motivált csoport áll, amely már legalább harmadszor használ élesben 0-day exploitot.
A helyzetet bonyolítja, hogy a Bi.ZONE biztonsági vállalat egy másik orosz csoport, a Paper Werewolf (GOFFEE) tevékenységét is azonosította, amely szintén kihasználta ezt a hibát, sőt egy korábbi, CVE-2025-6218 jelű WinRAR-sebezhetőséget is bevetett. A kártékony archívumok többnyire e-mailes adathalász kampányokon keresztül érkeztek, hamis intézményi feladói címekkel.
Az ESET három támadási láncot írt le:
- Első lánc: egy DLL-fájl COM-hijacking technikával indult el, majd Mythic Agent keretrendszert telepített célzott szervezetek gépein.
- Második lánc: SnipBot kártevőt juttatott a rendszerre, amely sandboxban futtatva azonnal leállt, ezzel nehezítve a kutatói elemzést.
- Harmadik lánc: a RomCom két másik ismert kártevőjét – RustyClaw és Melting Claw – használta.
A WinRAR korábbi verzióiban is többször bukkantak fel komoly hibák: 2019-ben és 2023-ban is hónapok teltek el, mire nyilvánosságra kerültek. A friss eset ismét rávilágít arra, hogy a program frissítési mechanizmusa manuális, így sok felhasználó hosszú ideig védelem nélkül marad.
A biztonsági szakértők nyomatékosan javasolják a WinRAR 7.13 vagy újabb verzió telepítését, mivel ez tartalmazza a most felfedezett és minden ismert hiba javítását. Az érintettség nem csak a fő alkalmazásra, hanem az UnRAR.dll és a hordozható UnRAR forráskód Windows-verzióira is kiterjed.
