Executive Summary
Zwei schwerwiegende Sicherheitslücken in WinRAR für Windows – CVE-2025-6218 und CVE-2025-8088 – ermöglichen es Angreifern, Dateien außerhalb des vorgesehenen Entpackungsverzeichnisses zu speichern. CVE-2025-6218 nutzt die klassische Pfadmanipulation, während CVE-2025-8088 den Angriff durch die Verwendung von alternativen Datenströmen (ADS) des NTFS erweitert . Beide Schwachstellen lassen sich ausnutzen, indem einem Benutzer ein manipuliertes Archiv bereitgestellt wird und nur minimale Interaktion (lediglich das Entpacken) erforderlich ist.
Warum das wichtig ist: Diese Schwachstellen ermöglichen zuverlässige Persistenz und Remote-Code-Ausführung (RCE) in Unternehmensumgebungen. Bedrohungsakteure wie RomCom und Paper Werewolf (auch bekannt als GOFFEE) haben CVE-2025-8088 in aktiven Kampagnen ausgenutzt.
Übersicht über Sicherheitslücken
- CVE-2025-6218
- Typ: Verzeichnisdurchquerung während der Extraktion
- Betroffen: WinRAR für Windows 7.11 und früher (vor 7.12 Beta 1)
- Fest eingebautBeta 12 1
- Auswirkungen: Dateien können außerhalb des Zielextraktionsverzeichnisses abgelegt werden, z. B. in den Windows-Startup.
- CVE-2025-8088
- Typ: Directory Traversal über NTFS ADS-Syntax (txt: stream)
- Betroffen: WinRAR für Windows 7.12 und früher
- Fest eingebaut13
- Auswirkungen: Angreifer können Nutzdaten in ADS verstecken oder sie an Autorun-Standorten platzieren, um sie heimlich zu speichern.
- Betroffene Komponenten: WinRAR für Windows (GUI/CLI), UnRAR/UnRAR.dll, portables UnRAR (Windows-Builds)
Technische Details
CVE-2025-6218 – Directory Traversal bei der Archivextraktion
Ursache: Die RARReadHeader-/RARProcessFile-Routinen in WinRAR können relative Pfadkomponenten ('..\', '../') nicht normalisieren oder validieren. Angreifer können Dateischreibvorgänge außerhalb des Extraktionsverzeichnisses erzwingen, ohne den Ausgabepfad zu kanonisieren und einzuschränken.
Auslöser: Jedes bösartige RAR/ZIP-Archiv, das Dateieinträge mit Durchlaufsequenzen in seinen Header-Metadaten enthält.
BeispielPayloadPath:
..\..\..\Benutzer\ \AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart\malicious.exe
Auswirkungen: Die Datei landet im Autostart-Ordner → wird bei der Anmeldung mit Benutzerrechten automatisch ausgeführt.
Variantenhinweise: Dieser Exploit funktioniert sowohl für absolute als auch für relative Extraktionsziele. Es ist nicht erforderlich, vorhandene Dateien zu überschreiben – es können neue erstellt werden.
Die Sicherheitslücke kann ausgenutzt werden, unabhängig davon, ob der gespeicherte Pfad des Archiveintrags absolut (vollständiger Systempfad) oder relativ (unter Verwendung von Durchlaufsequenzen) ist.
Beispiel für einen absoluten Pfad:
C:\Benutzer\ \AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart\evil.exe
Beim Extrahieren wird die Datei direkt im Startordner abgelegt, wobei das gewählte Extraktionsverzeichnis ignoriert wird.
Beispiel für einen relativen Pfad:
..\..\..\Benutzer\ \AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart\evil.exe
Die Sequenzen „..\“ durchlaufen den Verzeichnisbaum vom Extraktionsort nach oben und dann nach unten in den Startordner.
Vorhandene Dateien müssen nicht überschrieben werden: Die Schwachstelle ermöglicht die Erstellung neuer Dateien an sensiblen Speicherorten, auch wenn diese nicht vorhanden waren. Dies ermöglicht Persistenz ohne Ersetzen vertrauenswürdiger Binärdateien und reduziert so das Risiko von Integritätswarnungen. Beispiel: Das Einfügen von „evil.lnk“ oder „malware.exe“ in den Autostart gewährleistet die automatische Ausführung beim Anmelden.
CVE-2025-8088 – ADS-unterstützte Pfaddurchquerung
Grundursache: Derselbe Traversierungsfehler wie bei CVE-2025-6218, aber der Extraktionscode kann auch die NTFS-ADS-Syntax in Dateinamen (Zeichen „:“ gefolgt vom Streamnamen) nicht blockieren.
NTFS ADS-Grundlagen: Eine NTFS-Datei kann mehrere Datenströme enthalten: den unbenannten Hauptstrom (Standardinhalt) und eine beliebige Anzahl benannter alternativer Ströme (z. B. „readme.txt: payload.exe“). Der Windows Explorer und die meisten Dateilisten zeigen ADS nicht an und eignen sich daher gut zum Ausblenden von Inhalten.
Beispiel für einen Nutzlastpfad:
..\..\..\Benutzer\ \AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart\readme.txt: malicious.exe
Auswirkungen: Die Nutzdaten einer harmlos aussehenden Datei im Autostart-Ordner werden in ADS gespeichert. Ein Ladeskript kann sie später ausführen oder über einen anderen Prozess seitlich laden.
Warum es schlimmer ist: ADS verbirgt die bösartige Binärdatei vor einer zufälligen Überprüfung und einigen älteren Sicherheitstools und verzögert so die Erkennung.
Beobachtete Ausnutzung: Bedrohungsakteure nutzen es zur heimlichen Persistenz und zum Bereitstellen von Malware für die spätere Ausführung.
Angriffskette
- Nutzlast vorbereiten: Der Angreifer bettet mithilfe von Traversal- und/oder ADS-Syntax eine schädliche ausführbare Datei/ein schädliches Skript in das Archiv ein.
- Archiv liefern: Wird per E-Mail, Instant Messaging oder über bösartige Download-Links gesendet.
- Opferrettung: Benutzerextrakte mit anfälligem WinRAR/UnRAR.
- Fluchtweg auf stillem Weg: Die Nutzlast landet im Startup oder an anderen sensiblen Orten.
- Automatische Ausführung: Läuft beim Neustart/Anmelden mit Benutzerrechten.
Ausbeutung in freier Wildbahn
- RomCom: Verwendete CVE-2025-8088 ab Mitte Juli 2025 als Zero-Day-Schwachstelle beim Spear-Phishing und lieferte Hintertüren über Autorun-Standorte.
- Papier-Werwolf: Es wurde beobachtet, dass ähnliche Traversierungsfehler gegen russische Ziele ausgenutzt wurden.
- Prognose: Erwarten Sie Nachahmerkampagnen – leicht als Waffe einzusetzen, hohe Beharrlichkeitsrate.
Schutz:
- Trojan.49857.GC
- Trojan.49856.GC
- Romcom.49869.SL
- Ghanarava.1754899322556336
- Agent.S37377547
- Agent.S37377548
Indikatoren für eine Gefährdung (IoCs):
| SHA-256 | Erkennungsname |
| 49023b86fde4430faf22b9c39e921541e20224c47fa46ff473f880d5ae5bc1f1 | Bat.Trojan.49857.GC |
| a25d011e2d8e9288de74d78aba4c9412a0ad8b321253ef1122451d2a3d176efa | Lnk.Trojan.49856.GC |
| 4da20b8b16f006a6a745032165be68c42efef9709c8e133e39d4b6951cca5179 | Lnk.Trojan.49856.GC |
| 8082956ace8b016ae8ce16e4a777fe347c7f80f8a576a6f935f9d636a30204e7 | Trojan.Ghanarava.1754899322556336 |
Datei-/Pfadmuster
- Schreibt an:
- %APPDATA%\Microsoft\Windows\Startmenü\Programme\Autostart\*.exe
- Vorhandensein von ADS (: im Dateinamen):
- txt: payload.exe
- Unerwartete Dateien außerhalb des vorgesehenen Extraktionsordners.
Prozess/Verhalten
- exe / UnRAR.exe erzeugt nach der Extraktion Prozesse (cmd.exe, powershell.exe).
- ADS-Erstellungsereignisse (Sysmon-Ereignis-ID 15).
Registrierung/Autorun
- Abgelegte Startdateien (keine Registrierung erforderlich).
- Überwachen Sie HKCU\Software\Microsoft\Windows\CurrentVersion\Run auf entsprechende Änderungen.
MITRE ATT&CK-Mapping
- T1059 – Befehls- und Skriptinterpreter
- T1204 – Benutzerausführung
- 001 – Registrierungsschlüssel ausführen / Startordner
- 004 – NTFS-Dateiattribute (ADS)
- T1027 – Verschleierte Dateien oder Informationen
Patch-Verifizierung
- Bestätigen Sie Version 13 auf allen Endpunkten.
- Validieren Sie Signaturen und Prüfsummen des Installationsprogramms.
- Testen Sie mit erstellten Traversal-/ADS-Archiven, um die Blockierung sicherzustellen.
Fazit
CVE-2025-6218 und CVE-2025-8088 zeigen, wie unzureichende Pfadvalidierung und übersehene NTFS-Funktionen zu unbemerkter Persistenz und Remote Code Execution (RCE) führen können. Die Ausnutzung erfordert nur minimale Benutzerinteraktion, und beide Schwachstellen wurden bereits in realen Angriffen verwendet. Unverzügliches Patchen in Kombination mit der proaktiven Suche nach ADS- und Startmanipulationen ist für die Verteidigung unerlässlich.
Referenzen
- RARLAB – Offizieller WinRAR-Sicherheitshinweis (August 2025)
https://www.rarlab.com/rar/winrar-security.htm
(Bestätigung der betroffenen Versionen und Fixes durch den Anbieter) - Nationale Schwachstellendatenbank (NVD) – CVE-2025-6218
https://nvd.nist.gov/vuln/detail/CVE-2025-6218
(Technische Klassifizierung, CVSS-Score, CWE-Mapping) - Nationale Schwachstellendatenbank (NVD) – CVE-2025-8088
https://nvd.nist.gov/vuln/detail/CVE-2025-8088
(Technische Klassifizierung, CVSS-Score, CWE-Mapping) - Malwarebytes Labs – „WinRAR Zero-Day-Exploit in freier Wildbahn“ (August 2025)
https://blog.malwarebytes.com/
(Behandelt RomComs Ausnutzung von CVE-2025-8088) - ESET-Forschung – „APT-Kampagnen nutzen WinRAR-Sicherheitslücken“
https://www.welivesecurity.com/
(Kampagnen von Bedrohungsakteuren und IOC-Kontext) - Microsoft Defender Threat IntelLigence – „Erkennen von ADS-Missbrauch in Windows“
https://learn.microsoft.com/en-us/windows/security/threat-protection/
(Anleitung zum Erkennen von NTFS-ADS-Erstellungsereignissen) - MITRE ATT & CK – Technik T1547.001 (Startup-Ordner) & T1564.004 (ADS)
https://attack.mitre.org/
(Mapping für Persistenz- und Verbergungstechniken)
Autoren:
Nandini Vimal Seth
Suvarnjeet Milind Jagtap
