Beobachtungen
Der Sicherheitsdienstleister Check Point Research analysiert die aktuell laufende Spionagekampagne des Akteurs „Amaranth Dragon“. Im Zentrum der Kampagne steht die Ausnutzung einer Sicherheitslücke (CVE-2025-8088) in der Archivierungssoftware WinRAR . Auch wenn sich die aktuellen Ziele der Angriffskampagne im außereuropäischen Raum befinden, ergibt sich aus der hohen Verbreitung der betroffenen Software in Deutschland eine grundsätzliche Gefährdungslage. Die Angriffsmethodik könnte ohne großen Aufwand für den Akteur auch für Ziele innerhalb der Bundesrepublik adaptiert werden.
Methoden
Die Durchführung der Angriffe erfolgt mittels Spear-Phishing-E-Mails, diesen sind Archivdateien als vermeintlich legitime Dokumente beigefügt. Technisch basiert der Angriff auf einem Heap Overflow innerhalb der Parsing-Routine von WinRAR. Eine Kompromittierung wird durch das Öffnen des Archivs oder die Nutzung der Vorschaufunktion des Betriebssystems ausgelöst. In der Folge wird eine Backdoor installiert, wodurch eine dauerhafte Verbindung zur Command-and-Control-Infrastruktur etabliert wird, ohne dass dabei zwingend Dateien auf den Datenträger geschrieben werden müssen. Dies erschwert zusätzlich die Detektion der Schwadsoftware.
Attribution
Basierend auf den technischen Indikatoren und der verwendeten Malware sowie der strategischen Zielauswahl wird die Kampagne dem Akteur „Amaranth Dragon“ zugeschrieben. Dieser Akteur agiert gemäß öffentlicher Informationen wahrscheinlich im Interesse der Volksrepublik China (APT41).
Empfehlungen
Es ist die umgehende Aktualisierung aller im Netzwerk befindlichen WinRAR-Installationen auf eine nicht verwundbare Version erforderlich. Auf Netzwerkebene sollten E-Mail-Gateways restriktiv konfiguriert werden, sodass der Empfang von Archivdateien mit verschlüsselten Inhalten oder ausführbaren Komponenten unterbunden wird. Ergänzend sind Endpoint-Detection-and-Response-Systeme so zu konfigurieren, dass sie das Starten von Netzwerkverbindungen durch die WinRAR-Anwendung detektieren und ggf. blockieren können. Check Point Research stellt einen ausführlichen Bericht sowie Indicators of Compromise (IOCs) zur Verfügung. Wir raten daher allen Stellen, die WinRAR im Einsatz haben, zur Prüfung der eigenen Systeme auf Betroffenheit anhand der IOCs.