Co najmniej dwa klastry zagrożeń powiązane z Rosją aktywnie wykorzystują lukę o wysokiej ważności w WinRAR w atakach e-mailowych na organizacje wojskowe i związane z administracją rządową na Ukrainie.
Luka, śledzona jako CVE-2025-8088, została załatana w WinRAR 7.13 w lipcu 2025 r. Badacze z Trend Micro informują jednak, że aktorzy zagrożeń nadal ją wykorzystują prawie rok później, co po raz kolejny dowodzi, że załatane luki mogą pozostawać bardzo cenne, gdy organizacje mają trudności z identyfikacją i aktualizacją narażonego oprogramowania.
Kampanie przypisywane są dwóm odrębnym grupom powiązanym z Rosją: Shadow-Earth-066, śledzonej przez CERT-UA również jako UAC-0226, oraz Earth Dahu, lepiej znanej jako Gamaredon lub UAC-0010.
Obie grupy wykorzystują złośliwe załączniki e-mail do eksploatacji tej samej luki w WinRAR, ale ich łańcuchy ataku i końcowe ładunki są różne.
Dlaczego CVE-2025-8088 nadal ma znaczenie
CVE-2025-8088 to luka typu path traversal dotycząca wersji WinRAR dla systemu Windows.
Luka pozwala atakującym tworzyć złośliwe archiwa, które zapisują pliki poza zamierzonym katalogiem rozpakowywania. W praktyce oznacza to, że atakujący może umieścić złośliwe pliki w wrażliwych lokalizacjach systemu Windows, w tym w folderach autostartu (Startup).
Gdy ofiara się zaloguje lub zrestartuje system, Windows może automatycznie wykonać podrzucony plik.
Dzięki temu luka nadaje się zarówno do uzyskania początkowego dostępu, jak i do utrwalenia obecności.
Mimo że luka została załatana, pozostaje atrakcyjna, ponieważ WinRAR jest powszechnie używany i często pozostaje poza standardowymi kanałami łatania w przedsiębiorstwach.
W przeciwieństwie do wielu produktów Microsoft WinRAR domyślnie nie aktualizuje się automatycznie przez WSUS, SCCM, Intune ani Group Policy. Wiele organizacji może nawet nie mieć pełnej inwentaryzacji tego, gdzie WinRAR jest zainstalowany.
Tworzy to długi ogon narażenia.
Dlaczego WinRAR jest atrakcyjnym celem
WinRAR jest głęboko osadzony w codziennych procesach pracy w wielu organizacjach.
Użytkownicy regularnie otwierają skompresowane pliki otrzymane e-mailem, udostępnione przez portale lub pobrane ze źródeł wyglądających na zaufane. W środowiskach wojskowych i rządowych archiwa służą często do pakowania dokumentów, raportów, formularzy, arkuszy kalkulacyjnych i materiałów operacyjnych.
Sprawia to, że phishing oparty na archiwach jest bardzo skuteczny.
Atakujący wiedzą, że użytkownicy chętniej otworzą plik RAR, jeśli wydaje się związany z:
- administracją wojskową
- wnioskami rządowymi
- dokumentami operacyjnymi
- materiałami podatkowymi lub prawnymi
- korespondencją urzędową
- zamówieniami
- logistyką
- sprawami kadrowymi
Dla aktorów zagrożeń atakujących Ukrainę WinRAR oferuje praktyczny punkt wejścia do środowisk, w których skompresowane załączniki są częścią normalnej działalności.
Shadow-Earth-066 wdraża stealer GiftedCrook
Jedna z kampanii przypisywanych Shadow-Earth-066 wykorzystała CVE-2025-8088 do wdrożenia zaktualizowanej wersji GiftedCrook, stealera informacji.
Grupa wysyłała e-maile z przynętami o tematyce wojskowej lub rządowej, istotnymi dla ukraińskich celów. E-maile zawierały złośliwe archiwa RAR spreparowane tak, by wykorzystywały lukę path traversal w WinRAR.
Exploit pozwalał atakującym umieścić złośliwy skrót lub ładunek w lokalizacji autostartu Windows, w tym za pomocą strumieni alternatywnych NTFS (Alternate Data Streams).
Po uruchomieniu GiftedCrook zbierał wrażliwe informacje ze skompromitowanego systemu.
Jego cele obejmowały:
- hasła zapisane w przeglądarce
- pliki cookie sesji
- dokumenty
- pliki pasujące do kilkudziesięciu rozszerzeń
- inne wrażliwe dane przechowywane lokalnie
Po zakończeniu kradzieży malware usuwał sam siebie ze skompromitowanego systemu, ograniczając ilość pozostawionych śladów.
Ta kampania wydaje się zaprojektowana z myślą o szybkiej kradzieży danych.
Earth Dahu wykorzystuje łańcuch szpiegowski oparty na HTA
Odrębna kampania przypisywana Earth Dahu, znanej też jako Gamaredon, wykorzystała tę samą lukę w WinRAR, ale przebiegała inną ścieżką infekcji.
Earth Dahu wysyłała e-maile spear-phishingowe ze skompromitowanych kont rządowych. E-maile zawierały uzbrojone archiwa z dokumentami zaprojektowanymi tak, by wyglądały na legalne.
Luka w WinRAR posłużyła do umieszczenia złośliwych plików HTML Application, czyli HTA, w lokalizacjach, z których Windows ostatecznie je wykona.
Pliki HTA pobierały następnie skrypt VBScript z infrastruktury dowodzenia i kontroli grupy, hostowanej w Cloudflare Workers. Skrypt ten ładował dodatkowe moduły malware'u wykorzystywane do trwałego cyberszpiegostwa.
W przeciwieństwie do kampanii Shadow-Earth-066, skoncentrowanej na szybkiej kradzieży poświadczeń i dokumentów, aktywność Earth Dahu wydaje się bardziej nastawiona na utrzymanie obecności, inwigilację i długoterminowe zbieranie informacji wywiadowczych.
Podobne cele, różne taktyki
Chociaż obie grupy używały różnych ładunków i łańcuchów infekcji, ich ofiary były podobne.
Cele obejmowały ukraińskie organizacje, takie jak:
- wojskowe centra innowacji
- jednostki wojskowe
- organy ścigania
- podmioty rządowe
- powiązane organizacje sektora publicznego
Odzwierciedla to dalsze wykorzystywanie operacji cybernetycznych jako części szerszego konfliktu rosyjsko-ukraińskiego.
E-mail pozostaje preferowanym mechanizmem dostarczania, ponieważ pozwala atakującym bezpośrednio celować w osoby i organizacje za pomocą dopasowanych przynęt.
🇷🇺 Inne grupy powiązane z Rosją również wykorzystywały tę lukę
Ustalenia Trend Micro uzupełniają wcześniejsze doniesienia, że CVE-2025-8088 było wykorzystywane przez innych aktorów zagrożeń powiązanych z Rosją.
Google Threat Intelligence Group informował wcześniej o wykorzystaniu luki przez grupy, w tym:
- Sandworm
- Turla
- Void Rabisu
Pokazuje to, że CVE-2025-8088 nie ogranicza się do jednej grupy ani jednej kampanii.
Gdy luka staje się niezawodna, tania i łatwa do uzbrojenia, wielu aktorów może szybko po nią sięgnąć. W tym przypadku możliwość umieszczania plików w lokalizacjach autostartu Windows sprawia, że luka jest przydatna w wielu różnych łańcuchach ataku.
Dlaczego atakujący wciąż używają starych luk
Aktorzy zagrożeń nie potrzebują najnowszego zero-daya, jeśli starsza luka nadal działa.
CVE-2025-8088 pozostaje użyteczna, ponieważ:
- WinRAR ma ogromną bazę instalacji
- wiele punktów końcowych może nadal uruchamiać podatne wersje
- pliki archiwów są powszechne w przepływach pracy z pocztą e-mail
- eksploatacja jest tania
- łańcuchy ataku są proste
- użytkownicy są przyzwyczajeni do otwierania skompresowanych plików
- widoczność poprawek jest słaba
- narzędzia korporacyjne mogą nie śledzić WinRAR w sposób niezawodny
W wielu środowiskach aplikacje firm trzecich są trudniejsze do łatania niż systemy operacyjne.
Daje to atakującym praktyczną przewagę.
Wyzwanie związane z łataniem
Głównym wyzwaniem obronnym jest widoczność.
Organizacje mogą nie wiedzieć, gdzie zainstalowany jest WinRAR, jaka wersja jest uruchomiona ani czy podatne kopie istnieją na niezarządzanych punktach końcowych.
WinRAR nie ma też niektórych scentralizowanych funkcji zarządzania, na których przedsiębiorstwa polegają przy łataniu oprogramowania Microsoft.
Oznacza to, że obrońcy mogą potrzebować narzędzi inwentaryzacyjnych firm trzecich, platform zarządzania punktami końcowymi, skanerów podatności lub ręcznych audytów, aby zweryfikować narażenie.
Pierwsze pytanie powinno brzmieć: gdzie jest zainstalowany WinRAR?
Drugie pytanie powinno brzmieć: czy nadal jest potrzebny?
Jeśli WinRAR nie jest wymagany, jego usunięcie może być bezpieczniejsze niż próby zarządzania nim w nieskończoność.
Co obrońcy powinni monitorować
Ponieważ obie kampanie wykorzystują tę samą koncepcję utrwalania obecności, obrońcy mogą monitorować wspólne zachowania, nawet jeśli ładunki się różnią.
Ważne możliwości wykrywania obejmują:
- pliki nieoczekiwanie zapisywane w folderach autostartu Windows
- pliki LNK tworzone w ścieżkach rozpakowywania archiwów
- pliki HTA pojawiające się w lokalizacjach zapisywalnych przez użytkownika lub w lokalizacjach autostartu
- rozpakowywanie archiwów, po którym następuje wykonanie podejrzanego procesu
- podejrzane użycie strumieni alternatywnych NTFS
- uruchamianie
mshta.exe - pobieranie z Cloudflare Workers po otwarciu archiwów
- podejrzane wykonywanie VBScript
- dostęp do poświadczeń przeglądarki
- kradzież plików cookie lub zapisanych haseł
- samousuwające się pliki wykonywalne
- nietypową aktywność po rozpakowaniu archiwum RAR
Monitorowanie zapisów w folderze autostartu jest szczególnie ważne, ponieważ te kampanie opierają się na tej ścieżce wykonania.
Zalecenia obronne
Organizacje powinny przyjąć warstwowe podejście do ograniczania ryzyka związanego z CVE-2025-8088 i podobnymi atakami opartymi na archiwach.
Zalecane działania obejmują:
- aktualizację WinRAR do najnowszej wersji
- weryfikację wersji WinRAR na wszystkich punktach końcowych
- usunięcie WinRAR tam, gdzie nie jest wymagany
- blokowanie lub kwarantannę podejrzanych załączników archiwów
- detonowanie przychodzących archiwów w piaskownicy
- monitorowanie zapisów w folderach autostartu Windows
- alertowanie o nieoczekiwanych plikach HTA, LNK lub skryptach tworzonych przez narzędzia do archiwów
- ograniczenie uruchamiania
mshta.exetam, gdzie to możliwe - kontrolę załączników e-mail za pomocą zaawansowanej ochrony przed zagrożeniami
- edukowanie użytkowników na temat uzbrojonych archiwów
- monitorowanie zachowań związanych z kradzieżą poświadczeń przeglądarki
- egzekwowanie zasady najmniejszych uprawnień na punktach końcowych
- staranny przegląd skompromitowanych kont nadawców rządowych lub partnerskich
W sektorach wysokiego ryzyka obsługę przychodzących archiwów należy traktować jako priorytetowy mechanizm kontroli.
Dlaczego e-mail pozostaje kluczowy dla tych ataków
Mimo rozwoju chmury, komunikatorów i narzędzi do współpracy e-mail pozostaje jednym z najbardziej niezawodnych sposobów dostarczania malware'u.
Atakujący mogą dopasowywać wiadomości do roli ofiary, jej organizacji i bieżących wydarzeń. W kampaniach wymierzonych w Ukrainę przynęty o tematyce wojskowej i rządowej są szczególnie skuteczne, ponieważ odpowiadają prawdziwej komunikacji operacyjnej.
W połączeniu z powszechnie zainstalowanym narzędziem, takim jak WinRAR, złośliwe archiwum może wyglądać na tyle rutynowo, by je otworzyć.
Dlatego bezpieczne bramy poczty e-mail, detonacja załączników, edukacja użytkowników i monitorowanie punktów końcowych muszą działać razem.
Wnioski dla organizacji spoza Ukrainy
Chociaż te kampanie celują w ukraińskie organizacje wojskowe i związane z administracją rządową, wnioski mają zastosowanie globalnie.
Każda organizacja korzystająca z nieaktualnego oprogramowania firm trzecich jest narażona na podobne łańcuchy ataku.
Szersza lekcja jest prosta: atakujący preferują luki, które są tanie, niezawodne i nadal obecne w rzeczywistych środowiskach.
Luka załatana miesiące temu może pozostać niebezpieczna, jeśli:
- inwentaryzacja oprogramowania jest niepełna
- łatanie odbywa się ręcznie
- aplikacje firm trzecich są niezarządzane
- użytkownicy otrzymują załączniki w postaci archiwów
- ochrona poczty e-mail jest słaba
- mechanizmy kontroli punktów końcowych są ograniczone
Organizacje nie powinny utożsamiać „załatane przez producenta” z „naprawione w środowisku”.
Podsumowanie
Dalsze wykorzystywanie CVE-2025-8088 pokazuje, że stare luki mogą pozostać operacyjnie wartościowe długo po wydaniu poprawek.
Grupy powiązane z Rosją używają luki w WinRAR w odrębnych kampaniach przeciwko ukraińskim organizacjom wojskowym i rządowym, dostarczając zarówno szybko działające stealery, takie jak GiftedCrook, jak i łańcuchy malware'u nastawione na szpiegostwo, wykorzystujące HTA i VBScript.
Luka nie jest nowa. Poprawka nie jest nowa. Ryzyko jednak pozostaje, ponieważ podatne oprogramowanie nadal znajduje się na rzeczywistych systemach.
Dla obrońców lekcja jest jasna: wiedz, gdzie zainstalowane są aplikacje firm trzecich, łataj je lub usuwaj, monitoruj nadużycia folderu autostartu i traktuj przychodzące archiwa jako poważny wektor zagrożenia.
Drzwi były otwarte przez prawie rok. Priorytetem jest teraz znalezienie każdego systemu, w którym nadal są otwarte.
