Una vulnerabilidad recientemente corregida en el software WinRAR, identificada como CVE-2025-8088, se está utilizando actualmente como vulnerabilidad Zero-Day en ataques de phishing. Estos ataques buscan instalar el malware RomCom, un grupo de hackers vinculado a Rusia.
Vulnerabilidad de recorrido de directorio
La falla descubierta es una vulnerabilidad de recorrido de directorio, corregida en la versión 7.13 de WinRAR, que permite a los atacantes extraer archivos comprimidos en rutas definidas por ellos.
Según el registro de cambios de WinRAR 7.13, «al extraer un archivo, se puede engañar a versiones anteriores de WinRAR y RAR para Windows, para que usen una ruta definida en un archivo comprimido especialmente diseñado, en lugar de la ruta especificada por el usuario». Además, se menciona que las versiones Unix de RAR, UnRAR, el código fuente portátil de UnRAR y la biblioteca UnRAR no están afectadas.
Explotación para instalar malware
Los atacantes pueden aprovechar esta vulnerabilidad para crear archivos comprimidos que extraen ejecutables en rutas de ejecución automática, como la carpeta de inicio de Windows ubicada en:
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup (Local para el usuario)
%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp (A nivel de equipo)La próxima vez que un usuario inicie sesión, el ejecutable se ejecutará automáticamente, lo que permite al atacante ejecutar código remoto.
Recomendaciones para usuarios
Dado que WinRAR no incluye una función de actualización automática, se recomienda encarecidamente a todos los usuarios que descarguen e instalen manualmente la última versión desde win-rar.com para protegerse de esta vulnerabilidad.
Descubrimiento y explotación por parte del grupo RomCom
La falla fue descubierta por Anton Cherepanov, Peter Košinár y Peter Strýček de ESET. Strýček declaró a BleepingComputer que se explotaba activamente en ataques de phishing para instalar malware.
ESET ha detectado correos electrónicos de phishing selectivo con archivos adjuntos que contienen archivos RAR. Estos archivos explotaron la vulnerabilidad CVE-2025-8088 para distribuir puertas traseras RomCom, un grupo aliado de Rusia.
El grupo también es conocido como Storm-0978, Tropical Scorpius o UNC2596. Es un grupo de hackers ruso vinculado a ransomware y ataques de extorsión para robo de datos, así como a campañas centradas en el robo de credenciales.
El grupo es conocido por el uso de vulnerabilidades de día cero en sus ataques y por el uso de malware personalizado para ataques de robo de datos, persistencia y para actuar como puertas traseras.
RomCom ha sido vinculado previamente a numerosas operaciones de ransomware, como Cuba e Industrial Spy.