Amaranth Dragon, vinculado a APT41, explota CVE-2025-8088 de WinRAR en campaña de espionaje

Actor de amenazas vinculado a APT41 explota zero-day de WinRAR en ciberespionaje dirigido

Un grupo de ciberespionaje recientemente identificado, Amaranth Dragon, con vínculos con el actor patrocinado por el estado chino APT41, ha explotado CVE-2025-8088, una vulnerabilidad crítica en WinRAR, para llevar a cabo ataques dirigidos contra agencias gubernamentales y de aplicación de la ley. La falla, que sigue bajo explotación activa, permite a los actores de amenazas ejecutar código arbitrario en sistemas vulnerables.

Detalles técnicos de CVE-2025-8088

CVE-2025-8088 es una vulnerabilidad de ejecución remota de código (RCE) que afecta a WinRAR en versiones anteriores a la 7.0.1, una utilidad de compresión de archivos ampliamente utilizada. La falla se origina en un problema de traversal de ruta incorrecto en el manejo de archivos de archivo especialmente diseñados por parte de WinRAR, lo que permite a los atacantes depositar cargas maliciosas en directorios sensibles del sistema, como la carpeta de Inicio de Windows.

Una vez explotada, la vulnerabilidad permite a los actores de amenazas:

• Ejecutar comandos arbitrarios con privilegios de nivel de usuario
• Implementar malware adicional para persistencia y movimiento lateral
• Exfiltrar datos sensibles de sistemas comprometidos

Los investigadores de seguridad señalan que la cadena de ataque aprovecha correos electrónicos de phishing que contienen archivos de archivo weaponizados, los cuales, al ser abiertos, activan el exploit sin necesidad de más interacción por parte del usuario.

Impacto y atribución

La campaña de Amaranth Dragon coincide con los patrones históricos de objetivos de APT41, enfocándose en entidades gubernamentales, de defensa y de aplicación de la ley en Sudeste Asiático y Norteamérica. Aunque la atribución sigue siendo un desafío, la superposición de tácticas, técnicas y procedimientos (TTPs), incluyendo el uso de familias de malware personalizadas y la reutilización de infraestructura, sugiere fuertemente una conexión con el grupo de amenazas persistentes avanzadas (APT) chino.

La explotación de CVE-2025-8088 subraya la tendencia creciente de actores patrocinados por estados que weaponizan software ampliamente desplegado para eludir los controles de seguridad tradicionales. Dada la base de más de 500 millones de usuarios de WinRAR, la vulnerabilidad representa un riesgo significativo para las organizaciones que dependen de esta herramienta para la compresión y extracción de archivos.

Mitigación y recomendaciones

Se insta a los equipos de seguridad a tomar medidas inmediatas para mitigar los riesgos asociados con CVE-2025-8088:

1. Gestión de parches

   • Actualizar a WinRAR 7.0.1 o posterior para eliminar la vulnerabilidad.
   • Implementar herramientas automatizadas de gestión de parches para garantizar actualizaciones oportunas en todos los endpoints.

2. Seguridad en el correo electrónico

   • Bloquear o poner en cuarentena archivos de archivo (.RAR, .ZIP) de fuentes no confiables.
   • Implementar soluciones de sandboxing para analizar adjuntos sospechosos antes de su entrega.

3. Protección de endpoints

   • Aplicar listas blancas de aplicaciones para evitar la ejecución no autorizada de WinRAR u otras herramientas de archivado.
   • Monitorear actividad de procesos inusuales, especialmente en la carpeta de Inicio u otras rutas de autoejecución.

4. Caza de amenazas

   • Buscar indicadores de compromiso (IOCs) asociados con Amaranth Dragon, incluyendo:
     • Archivos de archivo maliciosos con estructuras anómalas
     • Conexiones de red inusuales a servidores de comando y control (C2) conocidos de APT41
     • Mecanismos de persistencia en claves de registro o tareas programadas

5. Concienciación del usuario

   • Realizar ejercicios de simulación de phishing para capacitar a los empleados en el reconocimiento de adjuntos maliciosos.
   • Enfatizar los riesgos de abrir archivos de archivo no solicitados, incluso de fuentes aparentemente legítimas.

Conclusión

La explotación de CVE-2025-8088 por parte de Amaranth Dragon destaca la necesidad crítica de una gestión proactiva de vulnerabilidades en sectores de alto riesgo. Las organizaciones deben priorizar la higiene de parches, la seguridad en el correo electrónico y el monitoreo de endpoints para defenderse contra campañas sofisticadas de ciberespionaje. A medida que los actores de amenazas patrocinados por estados continúan refinando sus tácticas, los equipos de seguridad deben mantenerse vigilantes ante zero-days emergentes en software de uso generalizado.

Para más detalles, consulta el informe original de BleepingComputer.