RAR Anomaly Inspector

RAR Anomaly Inspectorは、RARアーカイブの静的検査を行う読み取り専用のPowerShellツールであり、CVE-2025-8088（WinRAR RAR5 パストラバーサル）に関連するパストラバーサルの異常を検出するために設計されています。

このツールはアーカイブの内容を抽出または実行しません。

機能

静的かつ読み取り専用の解析（抽出・実行なし）
生のパストラバーサルパターン（..\）の検出
抽出ディレクトリ外への書き込みの特定
NTFS代替データストリーム（ADS）指標の検出
クリーンでディレクトリのみの出力（コピー＆ペーストに安全）
ヒューリスティックに基づくリスク分類

要件

Windows
PowerShell 5.1+
オプション: 7z.exe（ユーザーが表示可能なファイルの一覧表示用）

使用方法

.\anom-rar.ps1 .\suspicious.rar

出力例

RAR Anomaly Inspector
CVE      : CVE-2025-8088 (WinRAR Path Traversal)
Author   : Ilham
Source   : https://github.com/ilhamrzr/RAR-Anomaly-Inspector

Mode     : Static / Read-Only Inspection
Warning  : Indicators only - NOT proof of exploitation
ScanTime : 2026-01-11 13:33:05
-------------------------------------------------------

=== Archive File Inventory (7-Zip read-only) ===
Files visible to the user:
  - CVE-2025-8088.pdf

=== Suspicious Path Indicators Extraction ===
RAW suspicious path indicators (UNFILTERED):
  - ..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
Total RAW indicators: 10

Sanitized logical paths (SAFE for copy-paste):
  -> AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

=== Summary ===
Result: [!] ARCHIVE REQUIRES FURTHER INVESTIGATION
[!] High-risk archive structure detected (repeated deep traversal / ADS-style metadata)

Manual investigation hint:
- Review archive construction and intent.
- Do NOT execute extracted files directly.
- Treat repeated traversal as HIGH RISK.

Inspection completete.

リスクレベル

低
機密性の高いターゲットがない軽微な異常
中
明確な永続化パスがないトラバーサルが検出された場合
高
機密性の高いディレクトリを標的とした明示的なトラバーサル

リスクレベルはヒューリスティックであり、エクスプロイトの成功を示すものではありません。

このツールが行わないこと

アーカイブを抽出しません
ファイルを実行しません
ペイロードを検証しません
エクスプロイトの可能性を保証しません

適用範囲

防御的な分析とトリアージを目的としています
ブルーチーム、対応者、研究者に適しています
エクスプロイトフレームワークではありません

CVEリファレンス

CVE-2025-8088
影響を受けるバージョン: WinRAR for Windows ≤ 7.12
修正バージョン: WinRAR 7.13+

免責事項

このツールは防御および教育目的のみで提供されています。