Vulnerabilidad de WinRAR explotada por piratas informáticos rusos para implementar el ladrón GIFTEDCROOK

Piratas informáticos vinculados a Rusia están explotando una vulnerabilidad conocida de WinRAR para robar silenciosamente contraseñas, cookies de sesión y archivos confidenciales de organizaciones ucranianas. La falla, identificada como CVE-2025-8088, fue corregida en julio de 2025; sin embargo, varios grupos alineados con intereses rusos continúan utilizándola activamente casi un año después de la publicación del parche.

Analistas de Trend Micro informaron a Cyber Security News (CSN) que las campañas observadas explotan CVE-2025-8088 mediante archivos RAR maliciosos distribuidos a través de correos electrónicos de phishing. Cuando la víctima abre el archivo utilizando una versión vulnerable de WinRAR, se muestra un documento PDF señuelo para evitar sospechas, mientras que archivos ocultos son instalados silenciosamente en la carpeta de Inicio de Windows con el objetivo de mantener la persistencia en el sistema comprometido.

El uso continuado de una vulnerabilidad ya corregida pone de manifiesto una debilidad importante en la gestión de actualizaciones de WinRAR. A diferencia de otras aplicaciones empresariales, WinRAR no cuenta con un sistema de actualizaciones automáticas ni con mecanismos estándar de distribución de parches, lo que facilita que muchas organizaciones continúen ejecutando versiones vulnerables sin detectarlo.

CVE-2025-8088 es una vulnerabilidad de recorrido de rutas (Path Traversal) con una puntuación CVSS de 8.4. La falla permite a un atacante escribir archivos fuera del directorio de extracción previsto mediante el abuso de flujos de datos alternativos (Alternate Data Streams o ADS) del sistema de archivos NTFS, posibilitando la ejecución de cargas maliciosas sin el conocimiento del usuario.

Según Trend Micro, una de las cadenas de ataque identificadas, denominada SHADOW-EARTH-066, utiliza esta vulnerabilidad para desplegar el malware GIFTEDCROOK Stealer. La amenaza está diseñada para recopilar credenciales, cookies de sesión y documentos sensibles de los sistemas comprometidos. Posteriormente, la información robada se cifra mediante un esquema RC4 de doble capa y se exfiltra a través de conexiones HTTPS hacia servidores de comando y control controlados por los atacantes.

La publicación "Vulnerabilidad de WinRAR explotada por piratas informáticos rusos para implementar GIFTEDCROOK Stealer" apareció originalmente en Cyber Security News.

Consultar publicación original ↗