WinRAR Zero-Day wird ausgenutzt, um RomCom-Malware zu verbreiten

Angreifer nutzen aktiv eine kürzlich entdeckte WinRAR Zero-Day-Sicherheitslücke aus, um mehrere Arten von Malware zu verbreiten. Die Angriffe, die mit der russlandnahen Gruppe RomCom in Verbindung stehen, verwendeten speziell präparierte RAR-Archive, um bösartige Dateien in sensiblen Systemverzeichnissen zu platzieren.

So funktionierte der Exploit

Die Schwachstelle, die als CVE-2025-8088 verfolgt wird, ist eine Path-Traversal-Sicherheitslücke in WinRAR für Windows. Angreifer nutzten Alternate Data Streams (ADS), um bösartige Dateien in Archiven zu verbergen. Beim Entpacken konnten diese Dateien in versteckte oder Autostart-Verzeichnisse wie %TEMP%, %LOCALAPPDATA% und Windows-Startup-Ordner abgelegt werden. Dadurch konnten sie automatisch ohne Benutzereingriff ausgeführt werden.

In den Angriffen eingesetzte Malware

Forscher identifizierten drei Malware-Familien, die über diese Angriffe verteilt wurden:

Mythic Agent – Wird über COM-Hijacking ausgeführt, führt Shellcode aus und verbindet sich mit einem Command-and-Control-Server.

SnipBot-Variante – Als gefälschtes PuTTY-CAC-Tool getarnt, wird sie nur unter bestimmten Systembedingungen aktiviert.

MeltingClaw (RustyClaw) – Eine Backdoor, die zusätzliche bösartige Module herunterladen und ausführen kann.

Forscher haben alle drei Varianten mit der Bedrohungsakteurgruppe RomCom in Verbindung gebracht, die auch als Storm-0978, Tropical Scorpius oder UNC2596 bekannt ist.

Attribution und Angriffskampagnen

Die Angriffe wurden in Phishing-Kampagnen beobachtet, die bösartige RAR-Dateien an Ziele lieferten. Nach dem Öffnen und Entpacken konnten die in diesen Archiven eingebetteten Payloads entweder sofort ausgeführt werden oder inaktiv bleiben, bis sie später aktiviert wurden – abhängig von der Programmierung der Malware.

Patch und Abhilfemaßnahmen

WinRAR schloss die Sicherheitslücke in Version 7.13 am 30. Juli 2025, nachdem ESET-Forscher das Unternehmen darauf aufmerksam gemacht hatten. Sicherheitsexperten raten dringend, sofort ein Update durchzuführen, um eine Kompromittierung zu vermeiden. Die Entwickler hatten bereits im Juni 2025 eine andere Path-Traversal-Sicherheitslücke (CVE-2025-6218) behoben.

Fazit

Die Ausnutzung der WinRAR Zero-Day-Sicherheitslücke zeigt, wie gängige Software zu einem Einfallstor für hochentwickelte Cyberspionage-Operationen werden kann. Angesichts der wachsenden Aktivität von RomCom ist es entscheidend, WinRAR aktuell zu halten, um Risiken zu minimieren. Benutzer sollten außerdem das Entpacken von Archiven aus unbekannten Quellen vermeiden, da selbst bekannte Dateitypen versteckte Bedrohungen enthalten können.