ESETの研究者は、これまで知られていなかった脆弱性がWinRARに存在することを発見しました。ロシアとつながりのあるサイバー攻撃グループ「RomCom」が実環境でこの脆弱性を攻撃しています。RomComが重大なゼロデイ脆弱性を実環境で悪用したことが確認されたのは、少なくともこれで3回目となります。過去には、2023年6月にMicrosoft Word経由で悪用されたCVE-2023-36884のほか、CVE 2024 9680とこれまで特定されていなかったWindowsの脆弱性CVE 2024 49039を組み合わせた攻撃が見つかっています。後者の攻撃は2024年10月に発生し、脆弱なバージョンのFirefox、Thunderbird、Tor Browserが標的となり、ログイン中のユーザー権限で任意のコードが実行されています。

本ブログの要点：

• WinRARや、影響を受けるその他のコンポーネント（Windows向けWinRARのコマンドラインツール、UnRAR.dll、またはポータブルなUnRARソースコード）を使用している場合は、直ちに最新バージョンにアップグレードしてください。
• 2025年7月18日、ESETの研究者は、ゼロデイ脆弱性がWinRAR製品に存在しており、実環境で悪用されていることを発見しました。
• エクスプロイトを分析した結果、この脆弱性（CVE-2025-8088）が特定されました。これはパストラバーサルの脆弱性であり、代替データストリームを使用して攻撃が可能になります。WinRARは、この問題の通知を直ちに受けて、2025年7月30日にパッチが適用されたバージョンを公開しました。
• この脆弱性を攻撃すると、アーカイブ内に悪意のあるファイルを隠し、解凍時にユーザーに気付かれずに展開することができます。
• 攻撃が成功すると、SnipBotの亜種、RustyClaw、Mythicエージェントなど、RomComグループが使用しているさまざまなバックドアが配信されます。
• この攻撃キャンペーンは、ヨーロッパやカナダの金融、製造、防衛、物流企業を標的としていました。

RomComはロシアとつながりのあるサイバー攻撃グループであり、Storm-0978、Tropical Scorpius、またはUNC2596としても知られています。RomComは、特定の業界の組織に対する場当たり的なキャンペーンと標的を絞ったスパイ活動の両方を実施しています。RomComは、従来のサイバー犯罪に加えて、情報を収集するスパイ活動も積極的に行うようになっています。このグループが通常使用しているバックドアは、コマンドを実行し、被害者のマシンに追加のモジュールをダウンロードすることができます。

2025年7月18日、ESETはRARアーカイブ内にあるmsedge.dllという名前の悪意あるDLLファイルを確認しました。ESETチームの注意を引いたのは、このアーカイブには異常なパス構造が含まれていたためです。詳細な分析の結果、攻撃者は、WinRARの当時の最新版（バージョン7.12）を含むすべてのバージョンに影響を及ぼす、これまで発見されていなかった脆弱性を悪用していたことが判明しました。2025年7月24日、ESETはWinRARの開発者に連絡しましたが、同日中に脆弱性が修正され、WinRAR 7.13ベータ1が公開されました。WinRAR 7.13は 2025年7月30日に公開されました。WinRARを利用しているユーザーは、この攻撃を受けるリスクを軽減するために速やかに最新版をインストールしてください。Windows版のUnRAR.dllや、WinRARのソースコードを組み込んでいるソフトウェアも、この脆弱性の影響を受けます。特に、WinRARのライブラリを最新版に更新していないソフトウェアに注意してください。

この脆弱性は、代替データストリーム（ADS）を使用してパストラバーサルを行うものであり、CVE-2025-8088として追跡されています。なお、WinRARに影響するこの問題に類似したパストラバーサル脆弱性（CVE-2025-6218）が、約1か月前の2025年6月19日に公開されています。

攻撃者は、アーカイブを巧妙に細工し、無害なファイルが1つだけ含まれているように見せかけていました（図1を参照）。しかし実際には、悪意のある多くの代替データストリーム（ADS）が含まれています。ユーザーからはそれらのADSを確認することはできません。

被害者が無害に見えるこのファイルを開くと、WinRARはそのファイルに含まれるすべてのADSも一緒に展開します。たとえば、Eli_Rosenfeld_CV2 - Copy (10).rarの場合、悪意のあるDLLが%TEMP%ディレクトリに展開されます。同様に、悪意のあるLNKファイルがWindowsのスタートアップディレクトリに展開され、ユーザーがログインする時に自動実行され、システムに常駐します。

攻撃者は、成功率を高めるために、親ディレクトリを示す相対パス（..\\）を段階的に深く設定した複数の代替データストリームを用意していました。しかし、このために存在しないパスが含まれることとなり、WinRARが警告を表示するようになります。興味深いことに、攻撃者はあえて無効なパスと判断されるようなダミーデータが含まれるADSも追加していました。これは、被害者がDLLやLNKの不審なパスに気付かないようにするための対策と考えられます（図2を参照）。なお、WinRARのユーザーインターフェイスでは、スクロールして下に移動しない限り、これらの不審なパスは表示されません（図3を参照）。

ESETのテレメトリによると、これらのアーカイブは2025年7月18日から21日にかけて、ヨーロッパやカナダの金融、製造、防衛、物流企業を標的としたスピアフィッシングキャンペーンで使用されていました。表1には、このキャンペーンで使用されたスピアフィッシングメールの送信者、件名、添付ファイル名を記載しています。図4には、ESETが確認したメールのメッセージを示しています。すべてのケースで、攻撃者は職務経歴書（CV）を送信していました。これは標的ユーザーの関心を引いて、ファイルを開かせることを狙ったものです。ESETのテレメトリでは、標的が侵害された事例はありませんでした。

これらのRARファイルには、悪意あるファイルが常に2つ含まれています。1つはWindowsのスタートアップディレクトリに展開されるLNKファイルであり、もう1つは%TEMP%または%LOCALAPPDATA%のいずれかに展開されるDLLまたはEXEファイルです。一部のアーカイブでは同じマルウェアが使われています。ESETは、3つの実行チェーンを特定しています。

最初の実行チェーン（図5を参照）では、悪意のあるLNKファイルUpdater.lnkがレジストリHKCU\SOFTWARE\Classes\CLSID\{1299CF18-C4F5-4B6A-BB0F-2299F0398E27}\InprocServer32を追加し、この値を%TEMP%\msedge.dllに設定します。これは、COMをハイジャックして、このDLLを実行するために使われます。具体的には、このCLSIDはnpmproxy.dllに含まれるPSFactoryBufferオブジェクトに対応しています。そのため、Microsoft Edgeなどの実行ファイルがこのDLLを読み込もうとすると、悪意のあるDLLのコードが実行されます。このDLLは埋め込まれたシェルコードをAESで復号した後に実行します。このDLLは、通常は会社名が含まれる現在のマシンのドメイン名を取得し、あらかじめハードコードされている値と比較し、その値と一致しなければ処理を終了します。これは、攻撃者が事前に標的を調査しており、メールが標的となった組織を攻撃していることを確認していることを示しています。

読み込まれるシェルコードは、Mythicエージェントのdynamichttp C2プロファイルとみられ、C&Cサーバー（https://srlaptop[.]com/s/0.7.8/clarity.js）に接続します。

このチェーンには、dynamichttp C2プロファイルの標準設定と、カスタム設定（図6を参照）が含まれています。前段階と同様に、この設定にも標的のドメイン名がハードコードされています。

第2の実行チェーン（図7を参照）では、悪意あるLNKファイルDisplay Settings.lnkが%LOCALAPPDATA%\ApbxHelper.exeを実行します。これはPuTTYのフォークであるPuTTY CACを変更したバージョンであり、不正なコードサイニング証明書で署名されています。この追加コードは、ファイル名を鍵として文字列や次段階のシェルコードを復号します。このシェルコードは、UNIT 42によりRomComが使用していると特定されたマルウェアであるSnipBotの亜種とみられています。
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\レジストリキーに特定の値（この検体では68）が存在する場合にのみこのシェルコードが実行されます。これは、最近69個以上のドキュメントが開かれているかどうかをチェックするもので、仮想環境やサンドボックスでの解析を防ぐための手法です。69個以上のドキュメントが最近開かれている場合、次の段階のシェルコードが、レジストリキー名（例：68、文字列を整数に変換したもの）を使って復号され実行されます。その後で次のステージをhttps://campanole[.]com/TOfrPOseJKZからダウンロードします。

ドイツからVirusTotalにアップロードされたAdverse_Effect_Medical_Records_2025.rarでも、同一のApbxHelper.exeが見つかっています。このアーカイブも、CVE-2025-8088の脆弱性を攻撃します。

第3の実行チェーン（図8を参照）では、悪意のあるLNKファイルSettings.lnkが%LOCALAPPDATA%\Complaint.exeを実行します。このファイルはRustで記述されたダウンローダー「RustyClaw」であり、Talosによって過去に分析されています。この検体は不正なコードサイニング証明書で署名されていますが、これはSnipBotの亜種で使用された証明書とは異なります。RustyClawは別のペイロードを、https://melamorri[.]com/iEZGPctehTZからダウンロードして実行します。このペイロード (SHA-1：01D32FE88ECDEA2B934A00805E138034BF85BF83）は、内部ではinstall_module_x64.dllという名前が使用されており、Proofpointが分析したMeltingClawと部分的に一致します。MeltingClawはRomComが使用している別のダウンローダーです。ESETが観測したMeltingClawの検体で使用されているC&Cサーバーは、https://gohazeldale[.]comでした。

ESETは、対象地域、TTP（戦術/技術/手順）、使用されたマルウェアから、観測されたこれらの活動はRomComが実行していると確信しています。

RomComが標的を攻撃するためにエクスプロイトを使用したのは今回が初めてではありません。2023年6月には、RomComはヨーロッパの防衛機関や政府機関を狙ったスピアフィッシングキャンペーンを実施しています。フィッシングで使用されたテーマは、Ukrainian World Congressに関連していました。メールに添付されたMicrosoft Word文書は、BlackBerryの脅威調査とインテリジェンスチームによって報告されたCVE‑2023‑36884の脆弱性を攻撃するものでした。

2024年10月8日、RomComはこれまで公開されたことがないFirefoxブラウザの脆弱性を攻撃しました。このエクスプロイトは、FirefoxのアニメーションタイムラインにおけるUse-After-Freeの脆弱性（解放済みメモリへアクセスされる問題）を攻撃し、コンテンツのプロセスで攻撃者がコードを実行できるようにします。これは、RomComのバックドアを配信する目的で実行されます。この脆弱性にはCVE‑2024‑9680の識別番号が割り当てられています。この脆弱性については、ESETのWeLiveSecurityブログで詳しく説明しています。

この脆弱性は別のサイバー攻撃者によっても悪用されています。この攻撃は、ロシアのサイバーセキュリティ企業であるBI.ZONEが特定しています。RomComがCVE 2025 8088の悪用を開始してから数日後に、この第二のサイバー攻撃者も同様の攻撃を始めていることに注意が必要です。

RomComグループは、WinRARのゼロデイ脆弱性を攻撃しており、サイバー攻撃の作戦に相当な労力とリソースを投入していることが明らかになりました。RomComが実環境においてゼロデイ脆弱性を悪用したことが確認されたのは今回が少なくとも3例目であり、標的型攻撃のためにエクスプロイトの取得と運用に継続的に注力している実態が浮き彫りとなりました。今回特定されたキャンペーンは、ロシアとつながりのあるAPTグループが特に関心を示している業界を標的としており、この作戦に地政学的な動機があることを示唆しています。

ESETは、WinRARチームの協力と迅速な対応に感謝するとともに、わずか1日でパッチを公開した尽力を高く評価します。

また、分析に協力いただいたPeter Košinárにも感謝します。

IoC（セキュリティ侵害の痕跡）の詳細なリストと検体は、ESETのGitHubリポジトリに掲載されています。

ファイル

この表は、MITRE ATT&CKフレームワークのバージョン17を使用して作成されています。