Vulnerabiliteti Zero-Day i WinRAR

Zhvilluesit që qëndrojnë pas programit të njohur të arkivimit të skedarëve WinRAR kanë lëshuar një përditësim urgjent sigurie për të rregulluar një dobësi zero-day që shfrytëzohet në mënyrë aktive. I gjurmuar si CVE-2025-8088 me një rezultat CVSS prej 8.8, ky defekt është një gabim i përshkimit të rrugës në versionin për Windows të WinRAR që u lejon sulmuesve të ekzekutojnë kod arbitrar përmes skedarëve të arkivuar të krijuar posaçërisht.

Rregullimi u dërgua në versionin 7.13 të WinRAR, i cili u publikua më 31 korrik 2025. Dobësia ndikon jo vetëm në WinRAR, por edhe në RAR, UnRAR, UnRAR.dll dhe kodin burimor të UnRAR për Windows.

Si funksionon shfrytëzimi

Ky defekt ndodh sepse versionet e mëparshme të WinRAR mund të mashtroheshin për të nxjerrë skedarë duke përdorur një shteg keqdashës të specifikuar brenda arkivit në vend të shtegut të synuar të nxjerrjes. Ky sjellje mund të shfrytëzohet për të vendosur skedarë në drejtori të ndjeshme të sistemit, siç është dosja Windows Startup, duke çuar në ekzekutimin automatik të kodit në hyrjen tjetër në sistem.

Dobësia e lidhur CVE-2025-6218, e përditësuar në qershor 2025, mundësoi gjithashtu sulme përshkuese të direktorive. Aktorët kërcënues mund të përdorin të dy të metat së bashku për të manipuluar shtigjet e skedarëve gjatë nxjerrjes, për të shkruar skedarë jashtë dosjeve të caktuara dhe për të ekzekutuar kod të dëmshëm ndërsa shfaqnin një dokument mashtrues për të shpërqendruar viktimën.

Aktiviteti i aktorëve kërcënues dhe lidhjet e internetit të errët

Studiuesit e sigurisë kibernetike e kanë lidhur shfrytëzimin e fundit të CVE-2025-8088 me grupin e hakerëve Paper Werewolf (i njohur edhe si GOFFEE). Ky grup mund ta ketë shoqëruar të metën me CVE-2025-6218 për të nisur sulme të synuara.

Hetimet zbuluan se më 7 korrik 2025, një kriminel kibernetik i njohur si 'zeroplayer' reklamoi një të ashtuquajtur WinRAR zero-day në forumin në gjuhën ruse Exploit.in për 80,000 dollarë. Dyshohet se Paper Werewolf e mori këtë shfrytëzim dhe e përdori si armë në sulme të botës reale.

Detajet e Fushatës së Sulmit

Në korrik 2025, organizatat ruse u vunë në shënjestër përmes emaileve të phishing që përmbanin arkiva keqdashëse. Kur viktimat hapën këto skedarë, zinxhiri i shfrytëzimit shfrytëzoi të dy dobësitë për të:

• Shkruani skedarë në drejtori jashtë shtegut të synuar të nxjerrjes.
• Shkaktoni ekzekutimin e kodit pa dijeninë e viktimës.

Një detaj teknik i dukshëm është se sulmuesit krijuan arkiva RAR me rrjedha alternative të të dhënave, emrat e të cilave përmbanin shtigje relative. Këto rrjedha mbartnin ngarkesa arbitrare dhe, kur nxirreshin ose hapeshin direkt nga arkivi, shkruheshin në çdo drejtori të zgjedhur në disk.

Aftësitë e ngarkesës

Një nga ngarkesat keqdashëse të identifikuara është një ngarkues i bazuar në .NET që:

• Mbledh informacione të sistemit, siç është emri i kompjuterit të viktimës.
• Dërgon të dhënat në një server të largët.
• Shkarkon programe të tjera keqdashëse, duke përfshirë një asamble .NET të enkriptuar.

Raportohet se Paper Werewolf e përdor këtë ngarkues në kombinim me një predhë të kundërt mbi priza, duke lejuar komunikim të drejtpërdrejtë me infrastrukturën e tyre të komandës dhe kontrollit.

Veprim i rekomanduar

Përdoruesit e WinRAR duhet të përditësojnë menjëherë në versionin 7.13 ose më të ri për të eliminuar rrezikun nga CVE-2025-8088 dhe CVE-2025-6218. Çdo organizatë, veçanërisht ato që merren me të dhëna të ndjeshme, duhet të rishikojnë politikat e sigurisë së email-it, të çaktivizojnë ekzekutimin automatik të skedarëve nga arkivat dhe të monitorojnë për sjellje të dyshimta të nxjerrjes.