WinRAR снова в прицеле
Нулевая уязвимость CVE-2025-8088 активно эксплуатируется
История повторяется: архиватор WinRAR вновь стал оружием в руках киберпреступников. На этот раз — критическая уязвимость CVE-2025-8088 (CVSS 8.8), позволяющая выполнить произвольный код через специально созданные архивы. И да, злоумышленникам снова достаточно лишь уговорить жертву распаковать «правильный» файл.
Что за проблема?
Речь идёт о path traversal — ситуации, когда при распаковке файла WinRAR использует путь, прописанный внутри архива, а не тот, что указал пользователь. В результате вредонос может оказаться в любом месте системы, включая чувствительные директории вроде Windows Startup, что гарантирует его запуск при следующей загрузке.
Проблема затрагивает:
- WinRAR до версии 7.12
- RAR для Windows
- UnRAR, UnRAR.dll
- Портативный UnRAR для Windows
Патч выпущен 31 июля 2025 в версии 7.13.
Как эксплуатируют?
По данным ESET и BI.ZONE, атаки вели как минимум две группы:
- Paper Werewolf (GOFFEE) — вероятно, купившие эксплойт на тёмных форумах за $80,000.
- RomCom — опытный игрок, ранее использовавший другие zero-day в целевых атаках.
Сценарий атаки:
- Жертве отправляют архив с резюме или документом-приманкой.
- Архив содержит основной файл и скрытые alternate data streams (ADSes) с полезной нагрузкой.
- При открытии запускается DLL, которая ставит LNK-файл в автозагрузку и разворачивает обратную оболочку (reverse shell).
- Дополнительно загружаются бэкдоры — Mythic agent, SnipBot, RustyClaw, а через них и прочие «угощения» вроде ShadyHammock.
Кого атаковали?
RomCom нацеливался на финансовый, производственный, оборонный и логистический сектора в Европе и Канаде.
Paper Werewolf — на российские организации, в основном через фишинговые письма.
Хацкерский «сайдквест»
Любопытно, что незадолго до атак на форуме Exploit.in продавался «нулевой» эксплойт под WinRAR за $80,000. И хотя прямых доказательств покупки именно этими группами нет, совпадения выглядят как плохая шутка: объявление в июле — массовые атаки в том же месяце.
Не только WinRAR
В тот же период 7-Zip тоже пришлось затыкать дыру (CVE-2025-55188, CVSS 2.7), связанную с символическими ссылками при распаковке. Уязвимость менее критична, но при определённых условиях способна привести к перезаписи важных файлов вроде SSH-ключей.
Что делать прямо сейчас
- Обновить WinRAR до версии 7.13 или новее.
- Не открывать архивы из подозрительных писем (особенно с заманчивыми названиями вроде «resume.pdf.rar»).
- Включить мониторинг автозагрузки и проверять подозрительные DLL.
Немного иронии напоследок
Кажется, WinRAR стал своеобразным «вечным» хитом для APT-групп — как в мире музыки есть песни, которые перепевают снова и снова. Только здесь ремиксы — это новые уязвимости, а слушатели — ваши серверы.
Берегите себя и купите лицензию.
Эта статья - только начало. Настоящие навыки появляются тогда, когда знания превращаются в практику. В Kraken Academy мы собрали полноценные курсы по информационной безопасности с лабораториями, практическими заданиями и пошаговыми образовательными треками - от первых шагов до уровня специалиста.
