Una vulnerabilidad de seguridad recientemente parcheada en la herramienta 7-Zip está siendo explotada para distribuir el malware SmokeLoader. La falla, identificada como CVE-2025-0411 (CVSS: 7.0), permite a los atacantes remotos eludir las protecciones de marca de la web (MotW) y ejecutar código arbitrario en el contexto del usuario actual.
Detalles técnicos de CVE-2025-0411
7-Zip solucionó la vulnerabilidad en noviembre de 2024 con la versión 24.09. La causa principal es que antes de esa fecha, el software no propagaba correctamente las protecciones de MotW al contenido de los archivos con doble encapsulamiento. Esto permitió a los actores de amenazas crear archivos que contienen scripts o ejecutables maliciosos sin recibir protección.
Explotación activa por grupos rusos
La vulnerabilidad fue explotada activamente por grupos de ciberdelincuentes rusos a través de campañas de phishing. Los ataques emplean homoglifos para falsificar extensiones de documentos y engañar a los usuarios para que ejecuten archivos maliciosos.
Según Trend Micro, se sospecha que CVE-2025-0411 fue utilizada como arma en una campaña de ciberespionaje contra organizaciones gubernamentales y no gubernamentales en Ucrania dentro del contexto del conflicto ruso-ucraniano.
Proceso de infección
Los ataques que aprovechan la falla como Zero-Day se detectaron por primera vez el 25 de septiembre de 2024. El punto de partida es un correo electrónico de phishing que contiene un archivo comprimido especialmente diseñado, que emplea un ataque de homoglifo para hacer pasar el archivo ZIP interno como un documento de Word.
El mensaje de phishing se envió desde direcciones de correo electrónico asociadas con órganos gubernamentales y cuentas comerciales ucranianas. Estas cuentas comprometidas le dan al correo una apariencia de autenticidad, manipulando a las víctimas potenciales para que confíen en el contenido.
El archivo ZIP contiene un ejecutable disfrazado de documento PDF, que se descarga desde un servidor controlado por el atacante. La infección conduce al malware SmokeLoader, que ha sido utilizado repetidamente para atacar a Ucrania.
Afectados y recomendaciones
Se ha evaluado que al menos nueve entidades gubernamentales ucranianas se vieron afectadas por la campaña, incluido el Ministerio de Justicia, el Servicio de Transporte Público de Kiev, la Compañía de Abastecimiento de Agua de Kiev y el Ayuntamiento.
En vista de la explotación activa de CVE-2025-0411, se recomienda a los usuarios que actualicen sus instalaciones a la última versión, implementen funciones de filtrado de correo electrónico para bloquear intentos de phishing y deshabiliten la ejecución de archivos de fuentes no confiables.