RomCom Malware Eksploitasi Kerentanan WinRAR Zero-Day
August 19, 2025
Deskripsi
1
| |
|
|
| |
Kerentanan zero-day WinRAR (CVE-2025-8088) aktif dieksploitasi dalam serangan email phishing untuk memasang malware oleh kelompok hacker RomCom melalui teknik directory path traversal yang memungkinkan file diekstrak ke folder startup autorun. Kerentanan ini telah diperbaiki di WinRAR versi 7.13, namun pengguna harus melakukan update patch secara manual karena tidak terdapat fitur auto-update. Peneliti dari BI.Zone juga melaporkan bahwa kerentanan ini juga dieksploitasi oleh kelompok hacker lain yaitu Paper Werewolf.
|
|
| |
|
|
Metode Serangan
2
| |
|
|
| |
- File RAR yang tampak hanya berisi satu file normal, seperti CV atau dokumen lamaran, dilampirkan pada attachment phishing email. Namun ternyata terdapat data berbahaya yang disembunyikan dalam Alternate Data Streams (ADS) yang tidak terlihat oleh pengguna.
- Kemudian saat file RAR tersebut diekstrak
a) File DLL berbahaya disimpan di %TEMP% atau %LOCALAPPDATA%.
b) File shortcut .lnk buatan dimasukkan ke folder startup autorun, sehingga payload akan aktif saat booting.
- Serangan menggunakan teknik directory path traversal (..) untuk menyisipkan file ke direktori tak terduga.
- Peneliti dari ESET mengidentifikasi terdapat tiga rantai eksekusi yang berbeda dalam campaign eksploitasi CVE-2025-8088, yaitu
a) Mythic Agent via COM Hijacking
b) SnipBot Variant with Anti-Analysis
c) RustyClaw and MeltingClaw Downloaders
|
|
| |
|
|
Indicator of Compromise (IoC)
3
| |
|
|
| |
- Command & Control (C2) Infrastructure
- 162.19.175[.]44 – gohazeldale[.]com – MeltingClaw C2
- 194.36.209[.]127 – srlaptop[.]com – Mythic agent C2
- 85.158.108[.]62 – melamorri[.]com – RustyClaw C2
- 185.173.235[.]134 – campanole[.]com – SnipBot C2
|
- Informasi mengenai detail IoC lainnya dapat dilihat lebih detail pada referensi poin 3
|
|
| |
|
|
Versi Terdampak
4
| Produk yang Terdampak |
Versi yang terdampak |
Versi yang sudah diperbaiki |
| WinRAR |
≤ 7.12 |
7.13 |
Rekomendasi
5
| |
|
|
| |
- Dikarenakan WinRAR tidak memiliki fitur auto-update, maka segera lakukan update patch ke versi 7.13 atau terbaru.
-
Selalu waspada terhadap email yang mencurigakan, dan lakukan pengecekan kembali sebelum membuka attachment email.
- Atur agar ekstraksi file RAR hanya dilakukan ke folder yang aman (user-writable) dan pastikan untuk selalu mengaktifkan antivirus.
- Lakukan blocking IP & domain berdasarkan data IoC.
|
|
| |
|
|
Referensi:
