Ciberdelincuentes explotan un fallo crítico en WinRAR para distribuir malware en organismos gubernamentales de Asia, siendo esencial actualizar el software para protegerse.

Un nuevo grupo de ciberdelincuentes ha sido identificado como responsable de una serie de ataques dirigidos contra organismos gubernamentales y fuerzas de seguridad en el sudeste asiático, aprovechándose de una grave vulnerabilidad en WinRAR.

Según la empresa de ciberseguridad Check Point, este actor malicioso está explotando el fallo CVE-2025-8088, una vulnerabilidad que permite escribir archivos maliciosos en ubicaciones arbitrarias del sistema Windows mediante el abuso de la función Alternate Data Streams.

Al parecer, desde mediados del año pasado este fallo ha sido utilizado como zero-day por múltiples actores para lograr persistencia, principalmente colocando malware en la carpeta de inicio del sistema. Una de las características más llamativas de estas campañas es que los atacantes combinan herramientas legítimas con un cargador personalizado, conocido como Amaranth Loader, que descarga cargas útiles cifradas desde servidores de mando y control ocultos tras infraestructura de Cloudflare.

Este enfoque les permite filtrar conexiones mediante geovallado, aceptando únicamente el tráfico procedente de las regiones objetivo, lo que incrementa el sigilo y la eficacia de los ataques.

Los investigadores también han detectado una nueva herramienta de acceso remoto que utiliza bots de Telegram como canal de comunicación. Este malware permite realizar capturas de pantalla, transferir archivos y aplicar técnicas avanzadas de evasión frente a antivirus y soluciones de seguridad.

Los expertos recomiendan actualizar WinRAR a la versión 7.13 o superior lo antes posible. Google y otros equipos de inteligencia de amenazas confirman que esta vulnerabilidad sigue siendo explotada activamente, por lo que la actualización se considera una medida crítica de seguridad.