WinRAR 제로데이 악용으로 악성코드 실행하기

블리핑컴퓨터(BleepingComputer) 기사에 따르면, WinRAR의 제로데이 취약점(CVE-2025-8088)이 피싱 공격에 악용되었습니다. 이 취약점은 RomCom 해커 그룹이 RomCom 악성코드를 유포하는 데 사용되었습니다.

---

취약점 상세 요약

• 취약점: WinRAR, RAR, UnRAR 및 UnRAR.dll의 이전 버전에서 발견된 디렉터리 탐색(directory traversal) 취약점입니다.
• 공격 방법: 공격자는 특별히 조작된 압축 파일을 생성합니다. 사용자가 이 파일을 압축 해제하면, 악성 실행 파일이 윈도우 시작 폴더와 같은 자동 실행 경로에 배치됩니다.

%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup (Local to user) 
%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp (Machine-wide)

• 결과: 사용자가 로그인할 때 악성 파일이 자동으로 실행되어 공격자가 원격 코드 실행(remote code execution)을 할 수 있게 됩니다.
• 발견: ESET 연구원들이 공격자들이 이 취약점을 적극적으로 악용하는 것을 관찰하여 발견했습니다. 공격자들은 스피어 피싱 이메일과 RAR 파일 첨부를 통해 RomCom 백도어를 배포했습니다.
• RomCom 해커 그룹: RomCom은 러시아 해커 그룹으로, 제로데이 취약점과 맞춤형 악성코드를 사용하여 데이터 탈취 및 갈취를 하는 것으로 알려져 있습니다. 과거 Cuba, Industrial Spy와 같은 랜섬웨어 운영과도 관련이 있습니다.

https://www.bleepingcomputer.com/news/security/winrar-zero-day-flaw-exploited-by-romcom-hackers-in-phishing-attacks/

WinRAR zero-day exploited to plant malware on archive extraction