Descoberta e escopo
Analistas identificaram amostras onde arquivos RAR armadilhados depositam um template malicioso (Normal.dotm) no diretório de templates do Windows (C:\Users\[username]\AppData\Roaming\Microsoft\Templates) ao serem extraídos. A campanha mira agências governamentais, instituições acadêmicas e entidades do complexo industrial-militar na região.
Vetor e cadeia de ataque
CVE-2025-6218 é uma vulnerabilidade de directory traversal que afeta WinRAR 7.11 e versões anteriores. O exploit usa caminhos especialmente formatados com espaços após sequências de traversal para contornar a normalização do WinRAR. Ao extrair, o arquivo planta Normal.dotm malicioso que dispara macros no próximo uso do Word.
O Normal.dotm identificado (MD5: 4bedd8e2b66cc7d64b293493ef5b8942) executa macros que mapeiam unidades remotas com net use e, em seguida, executam um binário remoto (winnsc.exe), estabelecendo execução de comandos e persistência.
Impacto e recomendações
A operação é preocupante por combinar uma vulnerabilidade de extração com persistência via template do Word, um mecanismo que garante que a execução ocorra com a simples abertura de qualquer documento pelo usuário. A exploração tem baixo grau de complexidade para o atacante e alta probabilidade de sucesso em ambientes onde o WinRAR não está atualizado.
Recomendações imediatas:
- Atualizar todas as instalações de WinRAR para versões superiores a 7.11;
- implementar application allowlisting para evitar execução de binários não aprovados (como winnsc.exe);
- desabilitar execução automática de macros e aplicar políticas de template restritivas;
- caçar indicadores como extrações de arquivos RAR incomuns e a presença do MD5 citado em repositórios internos;
- priorizar correção em ambientes que manipulam dados sensíveis governamentais.
Limites das informações
As fontes descrevem a progressão técnica e alvos regionais. Não há, nas divulgações consultadas, atribuição política formal além da identificação do grupo APT-C-08 e amostras técnicas; medidas de mitigação e os hashes fornecidos são os elementos acionáveis para operações de defesa.
Fonte: Cyber Security News.