UAT-6275 transformă o vulnerabilitate veche din WinRAR în persistență discretă pe rețele guvernamentale din CSI

Un grup de atacatori urmărit sub numele UAT-6275 folosește o vulnerabilitate cunoscută de tip path traversal din WinRAR, CVE-2025-8088, pentru a plasa un backdoor personalizat direct în folderul Startup din Windows al unor angajați guvernamentali din Comunitatea Statelor Independente (CSI). Victima nu trebuie să mai facă nimic: implantul pornește singur la următoarea autentificare.

Cercetarea aparține Cisco Talos, în colaborare cu Insikt Group de la Recorded Future (care urmărește aceeași activitate sub numele TAG-193), într-un raport comun publicat pe 14 octombrie 2026.

Ce s-a întâmplat

• Totul pornește de la o arhivă. Țintele primesc un fișier RAR cu două documente PDF aparent inofensive. Ascunse lângă ele sunt intrări care folosesc fluxuri de date alternative NTFS (ADS) și căi relative pentru a ieși din folderul de extragere.
• Vulnerabilitatea face restul. CVE-2025-8088 permite unei arhive special create să scrie fișiere în afara folderului ales de utilizator. Arhiva conținea zece nume de flux ascunse, fiecare cu un alt număr de pași ..\, astfel încât cel puțin unul să ajungă în %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\, indiferent unde extrage utilizatorul. Nu sunt necesare drepturi de administrator.
• Payload-ul este PickleShell, un reverse shell în C#/.NET care se dă drept componentă de serviciu Windows, deschide un command shell ascuns și transmite comenzile și rezultatele către serverul de control. Versiunile mai noi criptează acest trafic. Cercetătorii au găsit un GUID de metadate identic în nouă mostre, util pentru threat hunting chiar și atunci când numele fișierelor se schimbă.
• WinRAR este cel mai nou instrument, nu singurul. Tehnica WinRAR a apărut în aprilie 2026. Activitatea analizată între iunie 2025 și august 2026 a inclus și documente Word cu macro-uri, downloadere PowerShell împachetate cu PS2EXE care creează sarcini programate (scheduled tasks), precum și scurtături LNK malițioase care descarcă scripturi PowerShell de pe GitHub. Alte shell-uri personalizate din arsenal se numesc Chvost și Laplas.

Cine este vizat

Momelile și victimele acoperă Kazahstan, Kârgâzstan, Tadjikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaidjan, Rusia și Belarus, cu teme din diplomație, planificare economică, agricultură, mediu și energie. Unul dintre documentele-momeală imită o scrisoare de felicitare trimisă de guvernul unei regiuni rusești către Ministerul de Externe al Armeniei.

Despre atribuire: Talos leagă operatorii de Kazahstan cu încredere medie, pe baza unor indicii lingvistice, a unor încărcări de test, a accesului la infrastructură și a unui program de lucru compatibil cu fusul UTC+5. Cercetătorii precizează explicit că acest lucru nu dovedește o sponsorizare statală. UAT-6275 este urmărit separat de YoroTrooper, deoarece nu s-a găsit o suprapunere directă de indicatori sau unelte, deși există asemănări cu campaniile de phishing Silent Lynx. Pe infrastructura atacatorilor a fost găsit și un exploit public pentru FortiWeb, dar raportul nu confirmă că grupul l-a folosit efectiv.

De ce contează

Vulnerabilitatea nu este nouă. Campania funcționează pentru că profită de un gest banal: cineva deschide un atașament, îl dezarhivează și își vede de treabă. Orice organizație care încă are un WinRAR neactualizat pe stațiile de lucru este expusă la același truc, indiferent de regiune. Campania folosește și GitHub pentru găzduirea fișierelor, ceea ce arată că o descărcare de pe o platformă cunoscută nu este automat sigură.

Ce trebuie făcut

1. Actualizați WinRAR acum. Instalați versiunea 7.13 sau mai nouă pe toate stațiile. WinRAR nu se actualizează singur, așa că verificați inventarul software pentru copii vechi, inclusiv instalări portabile.
2. Monitorizați folderul Startup. Setați alerte pentru executabile noi scrise în căile Startup ale utilizatorilor, mai ales când procesul care le scrie este un utilitar de arhivare.
3. Corelați evenimentele. La investigație, legați între ele extragerea arhivei, crearea fișierelor, pornirea proceselor și conexiunile spre exterior. Ștergerea arhivei RAR originale nu elimină un payload deja scris în Startup.
4. Căutați sarcini programate și PowerShell suspect. Verificați task-uri neașteptate cu nume precum WindowsUpdate sau MicrosoftOfficeUpdate și scripturi PowerShell descărcate de pe GitHub sau alte platforme de cod.
5. Folosiți detecțiile publicate. Talos a publicat semnături ClamAV și reguli Snort, iar raportul comun include hash-uri de fișiere și indicatori de rețea pentru verificarea telemetriei de pe endpoint-uri și a logurilor păstrate.
6. Informați personalul expus. Echipele din diplomație, energie și planificare economică ar trebui să trateze cu suspiciune orice arhivă primită neașteptat, chiar dacă pare oficială.

Cercetarea originală: Cisco Talos și Recorded Future Insikt Group. Raportat inițial de Cyber Security News.