Path traversal vulnerability in WinRAR

Falha de path traversal na versão Windows do WinRAR que permite a um arquivo comprimido malicioso escrever arquivos fora do diretório de extração pretendido, plantando executáveis em %TEMP% ou %LOCALAPPDATA% e alcançando execução de código. Foi descoberta pela ESET durante investigação de campanhas ativas do grupo RomCom e explorada em paralelo por outro grupo (Paper Werewolf/GOFFEE), o que a torna crítica na prática, não só no papel: já havia dois atores distintos abusando dela antes da correção existir.

A falha (CWE-35, path traversal) está na forma como o WinRAR para Windows resolve caminhos de extração ao processar Alternate Data Streams (ADS), um recurso do NTFS que permite múltiplas representações do mesmo caminho de arquivo. Um arquivo RAR malicioso pode abusar dessa ambiguidade para fazer o WinRAR gravar conteúdo em caminhos escolhidos pelo atacante — especificamente %TEMP% e %LOCALAPPDATA% — que normalmente estariam fora do escopo de extração e são sensíveis porque podem conter binários carregados automaticamente por outros processos.

O atacante controla o caminho de destino embutido no arquivo comprimido via a manipulação de ADS, efetivamente burlando a restrição que deveria confinar a extração ao diretório escolhido pelo usuário. Isso não é execução direta de código pelo WinRAR: é plantio de arquivo (DLL ou executável) em local estratégico, que depois é acionado por outro mecanismo — nas cadeias observadas pela ESET, COM hijacking (a DLL maliciosa é carregada por aplicativos como o Microsoft Edge) ou execução direta de um binário malicioso empacotado junto ao arquivo legítimo.

A mesma lógica vulnerável está presente em UnRAR.dll (versão Windows) e no código-fonte portável do UnRAR para Windows, segundo a ESET — ou seja, qualquer produto terceiro que embuta essas bibliotecas para processar RAR herda o problema. O caso do dtSearch confirma isso: versões 2022.02 e anteriores do dtSearch para Windows usavam essa biblioteca e ficaram vulneráveis até removerem o componente antes do lançamento 2023.01.

O vetor é entrega de arquivo malicioso via phishing — nas campanhas observadas, e-mails com anexos de arquivo comprimido, em alguns casos personalizados para o alvo. A exploração exige interação do usuário (abrir/extrair o arquivo) e roda localmente após a entrega; não é uma falha explorável remotamente pela rede sem essa etapa social. Não há evidência de que exija privilégios elevados ou configuração não padrão do WinRAR — a condição real é simplesmente convencer a vítima a abrir o arquivo.

A ESET documentou três cadeias de execução distintas usadas pelo grupo RomCom: uma usando uma DLL maliciosa acionada por COM hijacking (executada por aplicativos como o Microsoft Edge) para instalar uma instância customizada do framework Mythic Agent; outra entregando um executável malicioso que instala o malware SnipBot (conhecido do RomCom), com checagens anti-sandbox que interrompem a execução em máquinas virtuais vazias; e uma terceira usando os malwares RustyClaw e MeltingClaw. Paralelamente, o grupo Paper Werewolf/GOFFEE (rastreado pela Bi.ZONE) explorou a mesma falha — de forma independente da descoberta da ESET — via anexos que se passavam por comunicações de um instituto de pesquisa russo, visando instalar malware de acesso remoto.

A exploração já estava ativa antes da correção pública: a ESET detectou a atividade em 18 de julho de 2025, confirmou a vulnerabilidade em 24 de julho e notificou o fornecedor no mesmo dia; a correção saiu seis dias depois. Isso a caracteriza como zero-day explorada em campanha real, não como PoC teórica publicada depois do patch — está no catálogo KEV da CISA por esse motivo.

A correção é atualizar o WinRAR para a versão 7.13 ou posterior. O WinRAR não tem mecanismo de atualização automática, então a correção depende do usuário baixar e instalar manualmente — isso é relevante porque, diferente de software com auto-update, a base instalada de ~500 milhões de usuários citada pela imprensa fica exposta por muito mais tempo por padrão.

Se a atualização não for imediatamente possível: para produtos terceiros que embutem UnRAR.dll ou o código-fonte portável do UnRAR no Windows (como no caso confirmado do dtSearch), a mitigação documentada é remover/desabilitar esse componente — no caso do dtSearch, deletar os arquivos dtv_rar.dll e dtv_rar64.dll, o que desativa a indexação/busca de arquivos RAR mas não afeta o resto do produto. Cada produto que empacota essas bibliotecas precisa de tratamento equivalente e específico do fornecedor correspondente.

Controle compensatório genérico enquanto não há atualização: como o vetor depende de abertura de anexo por phishing, filtragem de anexos de arquivo comprimido em gateways de e-mail e bloqueio de execução a partir de %TEMP%/%LOCALAPPDATA% via política de restrição de software reduzem a superfície, mas não eliminam o risco de path traversal em si — são mitigação de defesa em profundidade, não correção da falha. Não há indicação de que apenas evitar abrir arquivos de fontes desconhecidas seja suficiente, já que as campanhas usaram e-mails personalizados que dificultam a triagem manual.

A ESET identificou a exploração inicialmente por telemetria que apontou um arquivo aparecendo em um caminho de diretório fora do padrão — ou seja, o sinal mais direto é conteúdo extraído de um arquivo RAR/comprimido aparecendo em %TEMP% ou %LOCALAPPDATA% fora da estrutura esperada da extração. Outros sinais úteis: carregamento de DLLs não assinadas ou incomuns por processos legítimos (como msedge.exe) consistente com COM hijacking; execução de binários relacionados a SnipBot, RustyClaw, MeltingClaw ou instâncias customizadas de Mythic Agent; e e-mails de phishing com anexos de arquivo comprimido, inclusive personalizados para o destinatário.

Não há assinatura de rede confiável, já que a exploração ocorre localmente após a abertura do arquivo — a detecção depende de telemetria de endpoint (EDR) monitorando escrita de arquivo fora do diretório de extração e comportamento pós-exploração, não de tráfego de rede.