WinRAR

Source: Check Point Research — Dans un billet de synthèse, le laboratoire détaille des campagnes d’espionnage menées en 2025 par un nouvel acteur, Amaranth‑Dragon, contre des institutions gouvernementales et des forces de l’ordre en Asie du Sud‑Est, avec des liens techniques et opérationnels vers l’écosystème APT‑41. 🕵️‍♂️ Contexte et objectifs: Les opérations observées visaient des agences gouvernementales et de sécurité dans plusieurs pays de l’ASEAN, avec un objectif clair de collecte d’intelligence géopolitique sur le long terme. Les campagnes ont été minutieusement calées sur des événements politiques et sécuritaires locaux pour maximiser l’engagement des cibles. ...

Source: Google Threat Intelligence Group (GTIG), 27 janvier 2026. GTIG décrit une exploitation active et étendue de CVE-2025-8088 dans WinRAR, utilisée comme vecteur d’accès initial et de persistance par des acteurs étatiques et financiers, avec des indicateurs de compromission fournis et un rappel du correctif disponible depuis fin juillet 2025. Vulnérabilité et chaîne d’exploitation: la CVE-2025-8088 est une faille de traversée de répertoires dans WinRAR exploitant les Alternate Data Streams (ADS). Des archives RAR piégées contiennent des documents leurres et des entrées ADS malveillantes; lors de l’ouverture avec une version vulnérable, le contenu caché est écrit à un emplacement arbitraire, souvent le dossier Startup de Windows pour la persistance (ex. via des fichiers LNK). L’exploitation a été observée dès le 18 juillet 2025 et RARLAB a corrigé via WinRAR 7.13 le 30 juillet 2025. 🔧 ...

Selon le blog Synaptic Systems, l’APT russe « Primitive Bear »/« Gamaredon » (attribué au FSB) mène depuis octobre–novembre 2025 une campagne de spear‑phishing ciblant des entités ukrainiennes, en s’appuyant sur des archives RAR piégées et des leurres en langue ukrainienne (documents administratifs et militaires). Les échantillons observés partagent une structure quasi identique et exploitent la vulnérabilité WinRAR CVE-2025-6218. La faille CVE-2025-6218 est une traversée de répertoires menant à une exécution de code dans WinRAR (≤ 7.11) permettant d’écrire hors du dossier d’extraction, notamment dans le dossier Startup de l’utilisateur. Une fois l’archive ouverte (interaction minimale), un fichier .hta est déposé de manière furtive dans Startup et s’exécute au prochain login, avec les privilèges de l’utilisateur. Le correctif est disponible à partir de WinRAR 7.12 (Beta 1). ...

Source: Blaze’s Security Blog (Bart Blaze). Contexte: billet technique annonçant qu’Earth Estries, un acteur APT à nexus chinois, mène une nouvelle campagne exploitant une vulnérabilité récente de WinRAR menant à l’exécution de shellcode, avec publication d’indicateurs de compromission (IoC) et de règles YARA. L’acteur, aussi connu sous les noms Salt Typhoon et autres, est associé à l’usage d’implants tels que Snappybee (Deed RAT), ShadowPad, etc. Dans la campagne décrite, l’exploitation d’une faille WinRAR (CVE-2025-8088) conduit à l’exécution de shellcode. Le billet fournit les IoC et des règles YARA correspondantes. 🧩 IoC principaux (extraits tels que listés): ...

Source et contexte — WeLiveSecurity (ESET Research) publie une analyse d’exploitation active d’une vulnérabilité zero‑day de WinRAR, identifiée comme CVE‑2025‑8088, découverte le 18 juillet 2025 et corrigée le 30 juillet 2025 (WinRAR 7.13). La faille permet, via des flux de données alternatifs (ADSes), une traversée de chemin conduisant au déploiement silencieux de fichiers malveillants lors de l’extraction. Les composants affectés incluent WinRAR, ses utilitaires en ligne de commande Windows, UnRAR.dll et le code source UnRAR portable. ...

Selon BleepingComputer, une vulnérabilité de WinRAR identifiée comme CVE-2025-8088, bien que récemment corrigée, a été exploitée en 0‑day dans des campagnes de phishing pour installer le malware RomCom. L’article souligne l’exploitation active d’une faille WinRAR avant sa divulgation publique complète, permettant à des acteurs malveillants d’infecter des victimes via des courriels de phishing. Le point central concerne l’usage de CVE-2025-8088 comme vecteur initial, avec pour charge utile le malware RomCom. La faille est désormais corrigée, mais a servi de 0‑day au moment des attaques. ...

Selon GBHackers, une faille zero-day sophistiquée affectant WinRAR, l’un des utilitaires de compression de fichiers les plus populaires au monde, a été découverte et mise en vente sur un marché du dark web pour la somme de 80 000 $. Cette vulnérabilité permet une exécution de code à distance (RCE), ce qui représente un risque majeur pour les millions d’utilisateurs de ce logiciel. Elle touche à la fois les versions récentes et plus anciennes de WinRAR, ce qui augmente l’ampleur de la menace. ...

Selon un article de GBHackers Security, une vulnérabilité récemment dévoilée dans l’utilitaire de compression de fichiers WinRAR met en danger des millions d’utilisateurs en les exposant à des attaques par exécution de code à distance (RCE). La faille, identifiée sous le code CVE-2025-6218 et notée 7.8 sur l’échelle CVSS, est classée comme haute en termes de gravité. Elle permet à des attaquants de faire exécuter du code arbitraire simplement en convainquant une victime d’ouvrir une archive malveillante. ...