У коллег из BI.ZONE вышел отчет об использовании новых уязвимостей в WinRAR
Уязвимости использовались для получения доступа к хостам жертв - фишинг.
Письмо имеет вложение - rar-архив, который эксплуатирует CVE‑2025‑6218. Уязвимость позволяет вредоносному архиву при распаковке записывать файлы за пределами целевого каталога - значит мы можем закрепиться в папку автозагрузки текущего пользователя.
🔭 Обнаружение строится достаточно легко:
ProviderName="Microsoft-Windows-Sysmon" and EventId = 11 and Image endswith "winrar.exe" and TargetFilename = ".*\Microsoft\Windows\Start Menu\Programs\Startup\"
Если атакующие продвинутые можно комбнировать несколько процедур, например заменить LNK на рабочем столе или разместить там RDP-rogue файл... Это уже будет другое правило)
#detection@detectioneasy
#ttp@detectioneasy