WinRAR の CVE-2025-8088 はまだ使われている：更新と「スタートアップに置かれた LNK」の監視

ウクライナを狙う攻撃グループ Gorbag（ESET 命名）が 2026 年初めから、WinRAR の CVE-2025-8088 を突く RAR を使っている。代替データストリーム（ADS）に仕込んだデータを展開先の外へ書き込み、スタートアップフォルダーに LNK を置く。

脆弱な WinRAR で RAR を開くと、おとりの PDF を表示しつつ、スタートアップフォルダーに LNK を配置する。
次回のログオン時に LNK が PowerShell のローダーを実行し、情報窃取マルウェア BeautyStealer を入れる。
収集対象はブラウザーの Cookie・保存パスワード、OpenVPN 設定、KeePass の .kdbx、.rdp、電子署名の秘密鍵など。一度集めて送ったら自己削除する（長期潜伏しない）。
2025 年は、Excel マクロの VBA がセル内の Base64 をデコードして実行する手口だった。

WinRAR を修正版（7.13 以降）へ更新する。 WinRAR は自動更新しないので、配布管理ツールで版数を確認する。
スタートアップフォルダー（%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup）への .lnk 作成を EDR／Sysmon（イベント ID 11）で監視し、作成元が WinRAR.exe なら即調査する。
LNK から起動される powershell.exe をアラート対象にする。
KeePass DB や VPN 設定を持つ端末では、窃取された前提で、侵害時はマスターパスワード・VPN 認証情報も替える。
マルウェアのコメントに「無害なプログラム」と書いて AI 解析を欺く亜種もある（ESET の検証では 2 種の AI アシスタントとも誤認しなかった）。AI の判定だけで検体を白にしない。