WinRAR to jedno z najpopularniejszych narzędzi do kompresji plików – korzysta z niego ok. 500 mln użytkowników na świecie. Niestety, niedawno odkryto w nim krytyczną lukę, która została od razu wykorzystana w cyberatakach. Cyberprzestępcy rozsyłają specjalnie spreparowane archiwa RAR, a ich rozpakowanie skutkuje potajemnym zainstalowaniem złośliwego oprogramowania na komputerze ofiary. Twórcy programu zareagowali błyskawicznie, wydając aktualizację eliminującą lukę – każdy użytkownik WinRAR-a powinien więc jak najszybciej zainstalować najnowszą wersję programu, aby zabezpieczyć komputer przed przejęciem.
Szczegóły techniczne luki
Luka CVE-2025-8088 ma charakter path traversal – błąd przy przetwarzaniu ścieżek dostępu – i umożliwia atakującemu umieszczenie dowolnych plików w strategicznych lokalizacjach systemu Windows podczas rozpakowywania zainfekowanego archiwum. Wykorzystywany jest przy tym mało znany mechanizm systemu plików NTFS, tzw. alternatywne strumienie danych (Alternate Data Streams), dzięki któremu szkodliwe komponenty mogą zostać ukryte w archiwum i zapisywane poza docelowym katalogiem rozpakowywania. W praktyce napastnicy przygotowali plik .RAR zawierający m.in. złośliwy plik LNK (skrót) oraz bibliotekę DLL – po otwarciu „paczki” ów skrót zostaje wypakowany do folderu Autostart systemu Windows, a złośliwa biblioteka trafia do katalogu tymczasowego. Przy następnym uruchomieniu lub zalogowaniu plik z folderu autostart wykona się automatycznie, co daje cyberprzestępcom zdalny dostęp do komputera ofiary.
Grupa RomCom w akcji
Za atakami stoi rosyjskojęzyczna grupa hakerska RomCom, znana również pod aliasami Storm-0978 czy Tropical Scorpius. Kampania była przeprowadzana za pomocą spreparowanych e-maili (spear phishing): ofiary – m.in. firmy z sektorów finansowego, zbrojeniowego, logistycznego w Europie i Kanadzie – otrzymywały wiadomości z załączonymi pozornie wiarygodnymi plikami RAR (np. rzekome CV kandydata). Po otwarciu takiego archiwum exploit instalował na komputerze tzw. backdoor (ukryte złośliwe oprogramowanie dające zdalny dostęp), używanego właśnie przez grupę RomCom.
RomCom to grupa powiązana z Rosją, zajmująca się zarówno cyberszpiegostwem, jak i atakami finansowymi – była wcześniej zaangażowana m.in. w kampanie ransomware (Cuba, Industrial Spy) i kradzieże danych dostępowych. Co istotne, RomCom ma na liście swoich „dokonań” sprawne wykorzystywanie nieznanych wcześniej luk 0-day – omawiany przypadek to już trzeci przykład posłużenia się przez grupę świeżo odkrytą podatnością. Wcześniej sięgała po lukę CVE-2023-36884 w Microsoft Word (czerwiec 2023 roku) oraz wykorzystała łańcuch podatności CVE-2024-9680/CVE-2024-49039 w przeglądarce Firefox i Windows w 2024 roku.
Podobne ataki w przeszłości
Nie jest to pierwszy raz, gdy WinRAR stał się narzędziem cyberataku. Już w 2019 roku wykryto poważny błąd w bibliotece obsługującej format ACE – umożliwiał utworzenie archiwum, które przy rozpakowaniu przez WinRAR zapisuje plik EXE w folderze autostart, uruchamiając malware przy każdym starcie systemu. Z powodu tamtej luki zagrożonych było aż pół miliarda użytkowników WinRAR na całym świecie, zanim producent załatał błąd usuwając obsługę formatu ACE.
Również niedawno, w 2023 roku, inna luka w WinRAR (CVE-2023-38831) była aktywnie wykorzystywana jako zero-day przez kilka grup hakerskich z Chin i Rosji. Co więcej, zaledwie miesiąc przed odkryciem CVE-2025-8088 ujawniono inną poważną podatność WinRAR (CVE-2025-6218), załataną w czerwcu 2025 – pozwalającą na wykonanie kodu po otwarciu odpowiednio spreparowanego pliku.
Pilna aktualizacja WinRAR – zalecenia
Jedynym skutecznym sposobem zabezpieczenia się przed opisywanym zagrożeniem jest natychmiastowa aktualizacja programu WinRAR do wersji 7.13 lub nowszej. Poprawka usuwająca lukę została wydana 30 lipca i blokuje możliwość wypakowywania plików poza wybrany katalog, zamykając tym samym ścieżkę ataku na system. Należy pamiętać, że WinRAR nie posiada mechanizmu automatycznej aktualizacji – nową wersję trzeba pobrać i zainstalować ręcznie ze strony twórców. Omawiana luka dotyczy wyłącznie wersji programu dla Windows (do wydania 7.12 włącznie); edycje WinRAR na inne platformy (Unix/Linux, macOS, Android) nie zawierają tego błędu.
Jak chronić się przed tego typu zagrożeniami
Użytkownicy powinni bezzwłocznie zaktualizować posiadane oprogramowanie – dbanie o aktualność software’u powinno być nawykiem, a nie jednorazową akcją wywołaną konkretnym zagrożeniem. Należy też zachować szczególną ostrożność względem załączników otrzymywanych pocztą elektroniczną od nieznanych nadawców lub niespodziewanych wiadomości. Dotyczy to zwłaszcza plików archiwum (.rar, .zip itp.): nawet jeśli wyglądają na zgodne z oczekiwaniami (np. zawierają dokument CV lub fakturę), mogą skrywać malware. Przed otwarciem takiego pliku warto go zweryfikować – np. przeskanować aktualnym programem antywirusowym – a w środowisku firmowym rozważyć filtrowanie i izolowanie podejrzanych załączników, zanim trafią do skrzynek pracowników.
Temat komentuje Beniamin Szczepankiewicz, analityk laboratorium antywirusowego ESET
W praktyce osoba, która rozpakowała złośliwe archiwum za pomocą „dziurawej” wersji WinRAR’a lub innych komponentów zawierających lukę, może stracić dane logowania, dokumenty czy zdjęcia, a jej sprzęt może zostać wykorzystany do kolejnych ataków.
Aktualnie wykorzystanie tej podatności przypisuje się RomCom, rosyjskiej grupie cyberprzestępczej typu APT (Advanced Persistent Threat), specjalizującej się w atakach szpiegowskich precyzyjnie wymierzonych w wybrane osoby i organizacje z kluczowych sektorów gospodarki. RomCom najczęściej wykorzystuje spear phishing — to forma ataku, w której ofiara otrzymuje starannie przygotowaną wiadomość e-mail (najczęściej z plikami)od pozornie zaufanego nadawcy, np. firmy, instytucji czy współpracownika.
W przypadku wykorzystania WinRAR-a jako wektora ataku, złośliwe pliki mogą być spakowane np. razem z dokumentem aplikacyjnym kandydata do pracy (CV), raportem lub np. ofertą handlową. Po rozpakowaniu archiwum ukryty program trafia do wrażliwych folderów systemu Windows, w tym do tzw. folderów startowych. Dzięki temu uruchamia się automatycznie przy każdym włączeniu komputera, a napastnicy mogą uzyskać stały dostęp do urządzenia ofiary.
Aby uniknąć zagrożenia wynikającego z pobierania i rozpakowywania dokumentów przez WinRAR, należy niezwłocznie zainstalować ręcznie najnowszą aktualizację pobraną z oficjalnej strony producenta.
Znajdujemy się w ogniu toczącej się za naszą wschodnią granicą wojny, a tego typu ataki ze strony wyspecjalizowanych rosyjskich grup APT stanowią jej cyfrowe oblicze. To codzienna rzeczywistość, w której cyberprzestępcy polują na pracowników różnych firm oraz zwykłych internautów. Czasami ograniczone zaufanie do niespodziewanych wiadomości może być niewystarczające — kluczowe jest szybkie instalowanie aktualizacji, pobieranie oprogramowania wyłącznie z oficjalnych źródeł oraz stosowanie oprogramowania zabezpieczającego, które stanowią cyfrową zaporę przed atakami pomagając uchronić nas przed infekcją.
źródła: ESET WeLiveSecurity, The Record, BleepingComputer, Help Net Security, Chip.pl, The Hacker News
Dodaj komentarz