Una grave falla de seguridad en WinRAR, una de las herramientas de compresión de archivos más utilizadas en Windows, se ha convertido en un arma favorita para los atacantes que buscan acceso no autorizado a sistemas informáticos. La vulnerabilidad, identificada como CVE-2025-8088, permite a los actores maliciosos colocar archivos dañinos en directorios sensibles del sistema sin que el usuario lo note, otorgando esencialmente el control de Windows a los ciberdelincuentes.

Una falla de seguridad crítica en WinRAR, una de las herramientas de compresión de archivos más utilizadas para Windows, se ha convertido en el arma favorita de los atacantes que buscan acceso no autorizado a sistemas informáticos.

La vulnerabilidad, identificada como CVE-2025-8088, permite a los actores maliciosos colocar archivos dañinos en directorios sensibles del sistema sin que el usuario lo note, entregando esencialmente el control de las máquinas con Windows.

Explotada por primera vez en julio de 2025, esta brecha de seguridad sigue amenazando a millones de usuarios a pesar de que existe un parche disponible desde el 30 de julio de 2025.

La falla ha atraído la atención de diversos grupos de atacantes, desde operaciones de espionaje respaldadas por gobiernos vinculados a Rusia y China hasta criminales con motivaciones financieras que atacan a empresas en todo el mundo.

Estos adversarios han aprovechado la vulnerabilidad para distribuir malware, robar credenciales y establecer acceso persistente a sistemas comprometidos.

El método de ataque consiste en crear archivos RAR especialmente diseñados que explotan una debilidad de trayectoria de directorios, permitiendo que los archivos se escriban en ubicaciones arbitrarias en las computadoras de las víctimas.

Investigadores de Google Cloud identificaron una explotación generalizada de esta vulnerabilidad en múltiples campañas que atacan a organizaciones militares y gubernamentales ucranianas, empresas tecnológicas y sectores comerciales como la hostelería y la banca.

Los investigadores observaron que los atacantes aprovechan constantemente la falla para colocar archivos maliciosos directamente en la carpeta de Inicio de Windows, asegurando que su malware se ejecute automáticamente cada vez que la víctima inicia sesión en su sistema.

Esta técnica refleja el patrón de explotación visto con una vulnerabilidad anterior de WinRAR (CVE-2023-38831) en 2023, demostrando cómo los atacantes sacan provecho repetidamente del software sin parches.

Las organizaciones y usuarios individuales siguen siendo vulnerables si no han actualizado a WinRAR versión 7.13 o posterior.

Los expertos en seguridad enfatizan la importancia de aplicar el parche de inmediato, señalando que los atacantes continúan explotando vulnerabilidades conocidas mucho después de que las soluciones estén disponibles.

Google recomienda usar las funciones de Navegación segura y seguridad de Gmail, que bloquean activamente los archivos que contienen el exploit.

Cómo los atacantes explotan la vulnerabilidad

La técnica de explotación se centra en manipular los Flujos de Datos Alternativos (ADS), una característica del sistema de archivos de Windows que los atacantes abusan para ocultar contenido malicioso.

Cuando las víctimas abren un archivo RAR armado, normalmente ven un documento inofensivo, como un PDF, mientras que archivos maliciosos ocultos se extraen silenciosamente en ubicaciones críticas del sistema.

Los atacantes crean rutas de archivos usando caracteres de trayectoria de directorios que navegan a través de estructuras de carpetas para llegar al directorio de Inicio de Windows.

Por ejemplo, un archivo malicioso podría contener un archivo llamado “innocuous.pdf:malicious.lnk” con una ruta manipulada que escribe directamente en la carpeta de Inicio.

Una vez colocado allí, el archivo malicioso se ejecuta automáticamente cuando el usuario inicia sesión nuevamente, dando a los atacantes control persistente sin requerir más interacción.

Este método ha demostrado ser efectivo en campañas de grupos rusos como UNC4895 y APT44 que atacan a Ucrania, actores chinos que despliegan malware POISONIVY, y cibercriminales que distribuyen herramientas de acceso remoto y ladrones de información a víctimas en Indonesia, América Latina y Brasil.