Details emerge on WinRAR zero-day attacks that infected PCs with malware
Mis à jour :
Exploitation d’une vulnérabilité WinRAR par des groupes de hackers russes
Des chercheurs en cybersécurité ont documenté l’exploitation active d’une vulnérabilité critique dans WinRAR, permettant à des groupes de hackers russes, tels que “RomCom” (également connu sous les noms de Storm-0978 et Tropical Scorpius), d’infecter des ordinateurs avec des logiciels malveillants variés. Le groupe “Paper Werewolf” a également été identifié comme exploitant la même faille.
Points Clés :
- La vulnérabilité, désignée CVE-2025-8088, est une faille de type “path traversal” rendue possible par l’utilisation de flux de données alternatifs (ADS).
- Les archives RAR malveillantes contiennent des charges utiles cachées dans des ADS pour dissimuler des fichiers DLL et des raccourcis Windows malveillants.
- Ces fichiers sont extraits dans des dossiers spécifiés par l’attaquant, y compris le répertoire de démarrage de Windows, assurant une exécution automatique lors des connexions futures.
- La vulnérabilité a été corrigée par WinRAR dans sa version 7.13, publiée le 30 juillet 2025.
- Les attaquants ont utilisé cette faille pour déployer des familles de logiciels malveillants connues, notamment Mythic Agent, SnipBot et MeltingClaw, par le biais de diverses chaînes d’attaque sophistiquées.
Vulnérabilités :
- CVE-2025-8088 : Vulnérabilité de traversée de chemin (path traversal) dans WinRAR.
- CVE-2025-6218 : Une autre vulnérabilité de traversée de chemin dans WinRAR, mentionnée comme similaire à CVE-2025-8088 et également exploitée.
Recommandations :
- Mise à jour immédiate de WinRAR : Les utilisateurs doivent impérativement télécharger et installer la dernière version de WinRAR (7.13 ou ultérieure) pour corriger la vulnérabilité CVE-2025-8088.
- Vigilance accrue : Les utilisateurs doivent être particulièrement prudents face aux archives RAR reçues de sources non fiables, notamment par le biais d’attaques de phishing.
- Surveillance des indicateurs de compromission (IoCs) : Les équipes de sécurité peuvent utiliser les IoCs partagés par les chercheurs pour détecter et répondre aux activités malveillantes.