CVE-2025-8088로 식별 된 널리 사용되는 Winrar 파일 압축 유틸리티에서 고도로 제로 데이 취약점은 두 개의 러시아 사이버 범죄 그룹에 의해 적극적으로 활용되어 악의적 인 아카이브를 열 수있는 컴퓨터의 백도어로 이어졌습니다. 보안 회사 인 ESET은 7 월 18 일에 원격 측정이 특이한 디렉토리 경로에 파일을 표시했을 때 이러한 공격을 처음 발견했습니다. 7 월 24 일까지 ESET은이 활동이 Winrar에서 알려지지 않은 취약성과 연결되어 있으며 약 5 억 명의 사용자의 설치된 기본을 자랑한다고 결정했습니다. ESET은 같은 날 Winrar 개발자에게 즉시 알리고 6 일 후에 수정이 출시되었습니다.
취약점은 경로 트래버스 결함을 이용하기 위해 Windows 기능 인 Alternate Data Streams를 활용했습니다. 이로 인해 악성 실행 파일은 공격자 선택된 파일 경로, 특히 평지 %및 %localAppData %에 심을 수있었습니다. ESET은 이러한 공격을 러시아에서 운영하는 재정적으로 동기 부여 된 사이버 범죄 그룹 인 Romcom에게 귀속되었습니다. Eset의 Anton Cherepanov, Peter Stýček 및 Damien Schaeffer는 다음과 같이 지적했습니다.“Winrar에서 이전에 알려지지 않은 제로 데이 취약성을 악용함으로써 Romcom Group은 사이버 로퍼레이션에 심각한 노력과 자원을 투자 할 의향이 있음을 보여주었습니다. 이는 적어도 세 번째로 롬 콤이 야생의 획득에 초점을 맞추는 데 중점을 두었습니다.
흥미롭게도 Romcom은 CVE-2025-8088을 악용하는 유일한 그룹이 아니 었습니다. 러시아 보안 회사 인 Bi.zone은 동일한 취약점이 Goffee라고도하는 종이 늑대 인간으로 추적하는 그룹에 의해 적극적으로 활용되고 있다고보고했습니다. 이 그룹은 CVE-2025-8088에 대한 수정이 출시되기 5 주 전에 패치 된 또 다른 고도로 윈라 취약점 인 CVE-2025-6218을 동시에 이용하고 있었다. Bi.zone은 종이 늑대 인간이 7 월과 8 월에 All-Russian Research Institute의 직원을 가장하는 이메일에 첨부 된 아카이브를 통해 악용을 제공했으며, 감염된 시스템에 액세스 할 수있는 맬웨어를 설치하는 궁극적 인 목표를 달성했다고 밝혔다.
ESET과 BI.ZONE의 발견은 독립적이지만, 이러한 취약점을 이용하는 그룹이 공유 소스에서 이용 된 지식을 연결하거나 얻었는지 확실하지 않습니다. Bi.zone은 종이 늑대 인간이 어두운 시장 범죄 포럼을 통해 취약점을 얻었을 것이라고 추측했다. ESET은 모니터링 된 공격에서 세 개의 뚜렷한 실행 체인을 관찰했습니다. 특정 조직을 대상으로 한 하나의 체인은 COM 납치를 통해 아카이브에 숨겨진 악의적 인 DLL 파일을 실행하는 것과 관련이 있습니다. 이 방법으로 인해 DLL은 Microsoft Edge와 같은 특정 응용 프로그램에 의해 실행되었습니다. DLL은 임베디드 쉘 코드를 해독 한 다음 현재 기계의 도메인 이름을 검색하여 하드 코드 값과 비교했습니다. 일치하면 Shellcode는 신화 에이전트 익스플로레이션 프레임 워크의 사용자 정의 인스턴스를 설치했습니다.
두 번째 실행 체인에는 최종 페이로드로 알려진 Romcom 맬웨어 인 Snipbot을 제공하기 위해 악성 Windows 실행 파일을 실행하는 것이 포함되었습니다. 이 맬웨어는 공허한 가상 기계 또는 샌드 박스에서 열렸을 때 종료 된 반 분석 기술을 통합하여 법의학 분석을 피하는 연구원들 사이의 일반적인 관행입니다. 세 번째 실행 체인은 두 개의 다른 알려진 Romcom 맬웨어 변형 인 Rustyclaw와 Melting Claw를 사용했습니다.
Winrar 취약점은 맬웨어 설치를 위해 악용 된 역사를 가지고 있습니다. 2019 년의 코드 실행 취약성은 패치 직후에 널리 퍼져 나갔습니다. 보다 최근에는 2023 년에 공격이 감지되기 전에 4 개월 이상 Winrar Zero-Day가 악용되었습니다. Winrar의 대규모 사용자 기반은 자동화 된 업데이트 메커니즘이 부족하여 패치를 수동으로 다운로드하고 설치하도록 요구하는 사용자가 맬웨어 전파에 이상적인 수단을 제공합니다. ESET은 또한 명령 줄 유틸리티 unrar.dll의 Windows 버전과 휴대용 UNRAR 소스 코드도 취약하다는 것을 강조했습니다. 사용자는 Winrar 버전 7.13 이상으로 업데이트하는 것이 좋습니다.이 보고서의 시점에는 알려진 모든 취약점에 대한 수정 사항이 포함되어 있습니다. 그러나 Winrar 0 일의 반복적 인 특성을 고려할 때, 이는 미래의 위협에 대한 제한된 보증을 제공합니다.
