بهره‌برداری از آسیب‌پذیری WinRAR توسط گروه‌های هم‌راستا با روسیه برای استقرار بدافزارهای سرقت اطلاعات در اوکراین

دو گروه هکری وابسته به روسیه، موسوم به Earth Dahu (معروف به Gamaredon) و SHADOW-EARTH-066 (معروف به UAC-0226)، به بهره‌برداری از یک آسیب‌پذیری امنیتی در نرم‌افزار WinRAR علیه سازمان‌های اوکراینی ادامه می‌دهند؛ این در حالی است که وصله امنیتی (patch) مربوطه تقریباً یک سال پیش منتشر شده است. این آسیب‌پذیری با شناسه CVE-2025-8088، یک نقص پیمایش مسیر (path traversal) است که به مهاجم اجازه می‌دهد از طریق جریان‌های داده جایگزین NTFS (NTFS Alternate Data Streams)، فایل‌ها را خارج از پوشه استخراج بنویسد و در ژوئیه ۲۰۲۵ توسط WinRAR برطرف شد. محققان شرکت Trend Micro این یافته‌ها را شاهدی بر این می‌دانند که «نرم‌افزارهای مدیریت‌نشده، نقاط ورود مورد سوءاستفاده را حتی پس از انتشار وصله امنیتی باز نگه می‌دارند.»

گروه SHADOW-EARTH-066 در جدیدترین حملات خود از آرشیوهای RAR دستکاری‌شده حاوی یک سند PDF فریبنده و سه بار داده (payload) مخفی استفاده می‌کند تا نسخه به‌روزشده‌ای از بدافزار سرقت اطلاعات GIFTEDCROOK را مستقر سازد؛ این بدافزار رمزهای عبور و کوکی‌های مرورگرهای مبتنی بر Chromium و Firefox را هدف قرار می‌دهد. تغییر قابل توجه در این کمپین، جایگزینی تلگرام با سرورهای فرمان و کنترل (C2) اختصاصی به عنوان کانال استخراج داده است که احتمالاً با مسدودسازی تلگرام در روسیه در فوریه امسال مرتبط است. گروه Earth Dahu نیز از این آسیب‌پذیری در زنجیره آلودگی HTA-to-VBScript برای استقرار ماژول‌های جاسوسی از جمله GammaSteel استفاده می‌کند و بر اساس گزارش Trend Micro، این زنجیره حداقل تا دهم آوریل ۲۰۲۶ فعال بوده است.