Hackers russos exploram vulnerabilidade zero-day no WinRAR para instalar backdoors

Uma vulnerabilidade zero-day recém-descoberta no WinRAR, popular aplicativo de compactação com mais de 500 milhões de usuários, está sendo explorada ativamente pelo grupo de hackers patrocinado pelo estado russo conhecido como RomCom. Essa falha crítica permite que atacantes instalem backdoors persistentes que dão controle total sobre sistemas comprometidos quando usuários abrem arquivos RAR especialmente manipulados.

A vulnerabilidade (CVE-2025-XXXX) existe no processamento de volumes de recuperação do WinRAR, onde uma validação inadequada de cabeçalhos de arquivo permite execução de código arbitrário. Operadores da RomCom armaram essa falha para implantar backdoors personalizados que estabelecem comunicações de comando e controle (C2) com servidores controlados pelos atacantes. Uma vez instalados, esses backdoors permitem acesso completo ao sistema, exfiltração de dados e movimento lateral em redes.

Pesquisadores de segurança que monitoram as atividades da RomCom destacam que o grupo tem como alvo histórico:

• Agências governamentais
• Contratadas da defesa
• Operadores de infraestrutura crítica
• Grandes corporações

A cadeia de ataque começa com e-mails de spear-phishing contendo anexos RAR maliciosos disfarçados de documentos legítimos. Ao serem abertos em versões vulneráveis do WinRAR (anteriores à 6.23), o arquivo executa malware embutido sem interação do usuário. O backdoor estabelece persistência através de modificações no registro e tarefas agendadas.

Recomendações de mitigação:

1. Atualizar imediatamente para WinRAR 6.23 ou superior
2. Bloquear anexos RAR em gateways de e-mail
3. Monitorar processos filhos suspeitos do WinRAR.exe
4. Implementar whitelisting de aplicativos
5. Realizar busca por ameaças com IOCs conhecidos da RomCom

Esse incidente destaca o risco contínuo representado por vulnerabilidades em softwares amplamente utilizados quando explorados por grupos de ameaças persistentes avançadas. Organizações devem priorizar a aplicação de patches e assumir posturas de 'presuma violação' ao lidar com falhas tão críticas.