Kerentanan Winrar yang baru-baru ini ditetapkan dilacak sebagai CVE-2025-8088 dieksploitasi sebagai nol hari dalam serangan phishing untuk memasang malware romcom.
The Flaw adalah kerentanan traversal direktori yang ditetapkan di Winrar 7.13, yang memungkinkan arsip yang dibuat khusus untuk mengekstrak file ke jalur file yang dipilih oleh penyerang.
“Saat mengekstraksi file, versi winrar sebelumnya, versi Windows dari RAR, UNRAR, kode sumber UNRAR portabel dan UNRAR.dll dapat ditipu untuk menggunakan jalur, yang didefinisikan dalam arsip yang dibuat khusus, bukan jalur yang ditentukan pengguna,” membaca the the Winrar 7.13 Changelog.
“Versi Unix dari kode sumber RAR, UNRAR, Portable UNRAR dan Perpustakaan UNRAR, juga sebagai RAR untuk Android, tidak terpengaruh.”
Menggunakan kerentanan ini, penyerang dapat membuat arsip yang mengekstrak executable ke jalur autorun, seperti folder startup windows yang terletak di:
%APPDATA%MicrosoftWindowsStart MenuProgramsStartup (Local to user) %ProgramData%MicrosoftWindowsStart MenuProgramsStartUp (Machine-wide)
Lain kali pengguna masuk, executable akan secara otomatis berjalan, memungkinkan penyerang untuk mencapai eksekusi kode jarak jauh.
Karena Winrar tidak termasuk fitur pembaruan otomatis, sangat disarankan agar semua pengguna mengunduh secara manual dan menginstal versi terbaru dari win-rar.com Jadi mereka dilindungi dari kerentanan ini.
Dieksploitasi sebagai serangan nol-hari
Cacat itu ditemukan oleh Anton Cherepanov, Peter Košinár, dan Peter Strýček dari ESET, dengan Strýček mengatakan kepada BleepingComputer bahwa mereka secara aktif dieksploitasi dalam serangan phishing untuk memasang malware.
“ESET telah mengamati email spearphishing dengan lampiran yang berisi file RAR,” kata Strýček kepada BleepingComputer.
Arsip-arsip ini mengeksploitasi CVE-2025-8088 untuk memberikan backdoors romcom. Romcom adalah kelompok yang selaras dengan Rusia. “
ROMCOM (juga dilacak sebagai Storm-0978, Tropical Scorpius, atau UNC2596) adalah kelompok peretasan Rusia yang terkait dengan serangan ransomware dan pencurian data, bersama dengan kampanye yang berfokus pada mencuri kredensial.
Grup ini dikenal karena penggunaannya kerentanan zero-day dalam serangan dan penggunaan malware khusus untuk digunakan serangan data-pencuriankegigihan, dan bertindak sebagai pintu belakang.
Romcom sebelumnya telah dikaitkan dengan berbagai operasi ransomware, termasuk Kuba Dan Mata -mata industri.
ESET sedang mengerjakan laporan tentang eksploitasi, yang akan diterbitkan di kemudian hari.
