Группа продвинутых постоянных угроз (APT) Primitive Bear, также известная как Gamaredon, в ходе кампании против украинских целей активно использует недавно раскрытую критическую уязвимость в архиваторе WinRAR. Об этом свидетельствует анализ образцов вредоносного ПО, проведенный экспертами по кибербезопасности. Группа применяет уязвимость CVE-2025-6218 для автоматического запуска вредоносного кода при открытии специально сконструированных RAR-архивов.
Описание
Новая кампания, ориентированная на украинские государственные и военные структуры, была зафиксирована в октябре-ноябре 2025 года. Злоумышленники рассылают фишинговые письма с архивами, названия которых имитируют официальные документы. Например, "Повістка про виклик_357-16230-25_24.10.2025.pdf" или "Передати засобами АСУ Дніпро_2_1_1_7755_11.11.2025.pdf". Эти названия указывают на целевой характер атак, нацеленных на сотрудников воинских частей, территориальных центров комплектования и штабов.
Механика эксплуатации уязвимости CVE-2025-6218
Ключевым элементом атаки стала эксплуатация уязвимости CVE-2025-6218 в WinRAR версий до 7.11. Эта уязвимость, классифицируемая как критическая, представляет собой ошибку обхода каталогов (directory traversal), ведущую к удаленному выполнению кода (RCE). Злоумышленник может создать архив, который при распаковке записывает файлы за пределы предназначенной папки. В данном случае файл с расширением .hta (HTML Application) помещается прямо в автозагрузку пользователя: в папку "Startup".
С технической точки зрения, архив содержит два файла: поддельный PDF-документ и HTA-файл с запутанным именем, использующим синтаксис уязвимости. Когда жертва открывает архив, PDF извлекается в текущую директорию, а HTA-файл незаметно помещается в папку автозагрузки. После перезагрузки системы или следующего входа пользователя в систему этот файл выполняется автоматически, что дает злоумышленнику выполнение кода с привилегиями текущего пользователя. Для успешной атаки требуется лишь минимальное взаимодействие с пользователем - достаточно открыть архив.
Анализ вредоносной нагрузки
Проанализированные HTA-файлы содержат обфусцированный VBScript, который после очистки от мусорного кода оказывается простым загрузчиком. Его основная функция - с помощью утилиты "mshta.exe", являющейся стандартным компонентом Windows (так называемый LOLBIN - Living-off-the-Land Binary), обратиться к удаленному серверу и загрузить следующий этап вредоносной программы.
URL для загрузки часто маскируется под легитимные украинские домены. Например, в строке "http://president.gov.ua@readers.serveirc[.]com?/gSS_11.11.2025/kidneyfih/broadlyrQZ.pdf" часть "president.gov.ua@" служит для фишинговой маскировки, в то время как реальный хостинг происходит на поддомене "readers.serveirc.com". Этот домен принадлежит динамическому DNS-сервису, что является стандартной тактикой Primitive Bear для быстрой смены инфраструктуры.
Согласно предыдущим расследованиям, финальной нагрузкой в подобных цепочках заражения этой группы часто становятся бэкдоры Pteranodon или GammaLoad. Эти инструменты обеспечивают шпионские функции, такие как кража файлов, перехват ввода с клавиатуры, создание скриншотов и выполнение команд. Следовательно, конечная цель кампании - это классический кибершпионаж.
Инфраструктура угрозы
Анализ выявил разветвленную и изменчивую инфраструктуру, используемую в кампании. Злоумышленники активно применяют бесплатные динамические DNS-сервисы, такие как serveirc.com, freedynamicdns.net, ddns.net и webhop.me. Связанные IP-адреса размещены у различных хостинг-провайдеров в Индии, Греции, Чехии, Турции и Ирландии. Примечательно, что часть адресов арендуется через маркетплейс IP-адресов InterLIR, что позволяет злоумышленникам легко получать и менять "одноразовую" инфраструктуру. На момент анализа как минимум четырнадцать доменов оставались активными, что указывает на продолжение операции.
Рекомендации по защите
Эксперты рекомендуют организациям, особенно работающим в сфере национальной безопасности или на территории конфликта, принять ряд срочных мер. Во-первых, необходимо обновить WinRAR до версии 7.12 (Beta 1) или новее, где уязвимость CVE-2025-6218 была исправлена. Во-вторых, следует заблокировать выполнение HTA-файлов с помощью политик групповых рассылок (GPO), AppLocker или WDAC. В-третьих, важно усилить мониторинг на конечных точках, отслеживая создание файлов в папке автозагрузки ("Startup") и подозрительное использование системных утилит, таких как "mshta.exe" или "wscript.exe", для обращения к внешним URL. Наконец, необходимо тщательно проверять входящие письма с архивами, обращая внимание на нестандартные структуры путей внутри них.
Использование свежей уязвимости в популярном софте демонстрирует, что российские APT-группы продолжают оперативно интегрировать новые векторы атак в свои кампании кибершпионажа, направленные против украинских институтов.
Индикаторы компрометации
