RAR Anomaly Inspector

RAR Anomaly Inspector est un outil PowerShell en lecture seule pour l'inspection statique des archives RAR, conçu pour détecter les anomalies de traversée de chemin liées à CVE-2025-8088 (WinRAR RAR5 Path Traversal).

L'outil n'extrait ni n'exécute le contenu des archives.

Fonctionnalités

Analyse statique, en lecture seule (pas d'extraction, pas d'exécution)
Détection des motifs bruts de traversée de chemin (..\)
Identification des écritures en dehors du répertoire d'extraction
Détection des indicateurs de flux de données alternatif NTFS (ADS)
Sortie propre, répertoire uniquement (sûre pour copier-coller)
Classification de risque basée sur des heuristiques

Prérequis

Windows
PowerShell 5.1+
Optionnel : 7z.exe (pour lister les fichiers visibles par l'utilisateur)

Utilisation

.\anom-rar.ps1 .\suspicious.rar

Exemple de sortie

RAR Anomaly Inspector
CVE      : CVE-2025-8088 (WinRAR Path Traversal)
Auteur   : Ilham
Source   : https://github.com/ilhamrzr/RAR-Anomaly-Inspector

Mode     : Inspection statique / Lecture seule
Avertissement : Indicateurs uniquement - PAS une preuve d'exploitation
HeureScan : 2026-01-11 13:33:05
-------------------------------------------------------

=== Inventaire des fichiers de l'archive (7-Zip en lecture seule) ===
Fichiers visibles par l'utilisateur :
  - CVE-2025-8088.pdf

=== Extraction des indicateurs de chemins suspects ===
Indicateurs bruts de chemins suspects (NON FILTRÉS) :
  - ..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
Total d'indicateurs bruts : 10

Chemins logiques assainis (SÛRS pour copier-coller) :
  -> AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

=== Résumé ===
Résultat : [!] L'ARCHIVE NÉCESSITE UNE ENQUÊTE APPROFONDIE
[!] Structure d'archive à haut risque détectée (traversée profonde répétée / métadonnées de type ADS)

Indice pour l'enquête manuelle :
- Examinez la construction et l'intention de l'archive.
- N'exécutez PAS les fichiers extraits directement.
- Traitez la traversée répétée comme un RISQUE ÉLEVÉ.

Inspection terminée.

Niveaux de risque

FAIBLE
Anomalies mineures sans cibles sensibles
MOYEN
Traversée détectée sans chemins de persistance clairs
ÉLEVÉ
Traversée explicite ciblant des répertoires sensibles

Les niveaux de risque sont heuristiques et n'indiquent pas la réussite de l'exploitation.

Ce que cet outil ne fait pas

N'extrait pas les archives
N'exécute pas les fichiers
Ne valide pas les charges utiles
Ne garantit pas l'exploitation

Portée

Conçu pour l'analyse défensive et le triage
Adapté aux blue teams, intervenants et chercheurs
Pas un framework d'exploitation

Référence CVE

CVE-2025-8088
Affecté : WinRAR pour Windows ≤ 7.12
Corrigé dans : WinRAR 7.13+

Avertissement

Cet outil est fourni à des fins défensives et éducatives uniquement.

RAR-Anomaly-Inspector

Populaires