RAR 이상 탐지기

RAR 이상 탐지기는 읽기 전용 PowerShell 도구로, RAR 아카이브의 정적 검사를 위해 설계되었으며, **CVE-2025-8088(WinRAR RAR5 경로 탐색)**과 관련된 경로 탐색 이상을 탐지합니다.

이 도구는 아카이브 내용을 추출하거나 실행하지 않습니다.

---

기능

• 정적, 읽기 전용 분석 (추출 없음, 실행 없음)
• 원시 경로 탐색 패턴 감지 (..\)
• 추출 디렉터리 외부 쓰기 식별
• NTFS 대체 데이터 스트림(ADS) 표시기 감지
• 깔끔한 디렉터리 전용 출력 (복사-붙여넣기 안전)
• 휴리스틱 기반 위험 분류

---

요구 사항

• Windows
• PowerShell 5.1+
• 선택 사항: 7z.exe (사용자에게 보이는 파일 목록화용)

---

사용법

.\anom-rar.ps1 .\suspicious.rar

예제 출력

RAR Anomaly Inspector
CVE      : CVE-2025-8088 (WinRAR Path Traversal)
Author   : Ilham
Source   : https://github.com/ilhamrzr/RAR-Anomaly-Inspector

Mode     : Static / Read-Only Inspection
Warning  : Indicators only - NOT proof of exploitation
ScanTime : 2026-01-11 13:33:05
-------------------------------------------------------

=== Archive File Inventory (7-Zip read-only) ===
Files visible to the user:
  - CVE-2025-8088.pdf

=== Suspicious Path Indicators Extraction ===
RAW suspicious path indicators (UNFILTERED):
  - ..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
Total RAW indicators: 10

Sanitized logical paths (SAFE for copy-paste):
  -> AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

=== Summary ===
Result: [!] ARCHIVE REQUIRES FURTHER INVESTIGATION
[!] High-risk archive structure detected (repeated deep traversal / ADS-style metadata)

Manual investigation hint:
- Review archive construction and intent.
- Do NOT execute extracted files directly.
- Treat repeated traversal as HIGH RISK.

Inspection completete.

---

위험 수준

• 낮음
  민감한 대상이 없는 사소한 이상

• 중간
  명확한 지속성 경로 없이 탐지된 경로 탐색

• 높음
  민감한 디렉터리를 대상으로 하는 명시적 경로 탐색

위험 수준은 휴리스틱이며 악용 성공을 나타내지 않습니다.

---

이 도구가 하지 않는 일

• 아카이브를 추출하지 않음

• 파일을 실행하지 않음

• 페이로드를 검증하지 않음

• 악용을 보장하지 않음

---

범위

• 방어 분석 및 분류를 위한 도구

• 블루 팀, 대응자 및 연구자에게 적합

• 악용 프레임워크가 아님

---

CVE 참조

• CVE-2025-8088

• 영향: Windows용 WinRAR ≤ 7.12

• 수정 버전: WinRAR 7.13+

---

면책 조항

이 도구는 방어 및 교육 목적으로만 제공됩니다.