Archivwerkzeuge sind vertrauenswürdige Programme, die täglich genutzt werden, doch Schwachstellen in der Extraktionslogik von Archiven können dazu führen, dass Dateien außerhalb des erwarteten Zielverzeichnisses geschrieben werden. Gelangt der resultierende Pfad in einen Windows-Autostart-Ordner, kann dies zur automatischen Ausführung nach der Benutzeranmeldung führen.

Die Quelle definiert eine kompakte Sysmon-Suche für dieses Verhalten.

Erkennungsszenario

Die Abfrage überwacht Ereignisse zur Dateierstellung, die erzeugt werden von:

• WinRAR;

• RAR;

• 7-Zip;

• 7-Zip-GUI-Komponenten.

Anschließend wird geprüft, ob der Ziel-Dateiname einen Windows-Startup-Pfad enthält.

Die Quelle bringt dieses Verhalten mit den WinRAR-Schwachstellen für Path Traversal CVE-2025-8088 und CVE-2025-6218 sowie mit analogem Missbrauch der Archivextraktion in Verbindung.

Erkennungsabfrage

data.win.system.eventID:11 and data.win.eventdata.image:(*\winrar.exe or *\rar.exe or *\7z.exe or *\7zg.exe or *\7zfm.exe) and data.win.eventdata.targetFilename:*\Startup\*

Die Quelle verzeichnete in den vorangegangenen 30 Tagen null Ereignisse.

Warum Schreibvorgänge in den Autostart wichtig sind

Das Schreiben einer Datei in den Autostart beweist nicht automatisch eine böswillige Absicht. Archivwerkzeuge extrahieren jedoch normalerweise in Verzeichnisse, die vom Benutzer oder von der Anwendung ausgewählt werden.

Ein direktes Schreiben in einen Autostart-Ordner kann daher ungewöhnlich sein, insbesondere wenn das Archiv aus einer E-Mail, einem Browser-Download oder einer anderen externen Quelle stammt.

Das Autostart-Verzeichnis ist auch sicherheitsrelevant, da dort abgelegte Dateien automatisch ausgeführt werden können, wenn sich der Benutzer anmeldet.

Untersuchungsschritte

Prüfen Sie bei jedem Treffer:

• den Quellpfad des Archivs;

• Archivdateiname und Hashwert;

• die in den Autostart geschriebene Zieldatei;

• Benutzeridentität;

• die Befehlszeile des Prozesses;

• Browser- oder E-Mail-Aktivität vor der Extraktion;

• ob die erstellte Datei später ausgeführt wurde.

Prüfen Sie nach Möglichkeit die internen Pfade des Archivs, um festzustellen, ob Path Traversal beteiligt war.

Korrelation mit der Ausführung

Die stärkste Sequenz würde das Dateiereignis mit der späteren Ausführung der erstellten Datei verbinden.

Zum Beispiel:

winrar.exe → file created in Startup → user logon → created file executes

Das liefert mehr Kontext als das Dateischreibereignis allein.

Strategie zur Feinabstimmung

Da legitime Software-Paketierung oder administrative Arbeitsabläufe gelegentlich in Autostart-Verzeichnisse schreiben können, bleibt ein umgebungsspezifisches Erstellen von Basislinien sinnvoll.

Ausnahmen sollten an bekannte Pakete, vertrauenswürdige Pfade oder kontrollierte Software-Verteilung gebunden sein.

Betrieblicher Nutzen

Dies ist eine eng gefasste Erkennung ohne Treffer im Quellzeitraum. Damit eignet sie sich für eine hochpriorisierte Überwachung in Umgebungen, in denen Archivwerkzeuge niemals Dateien im Autostart ablegen sollten.

Sie veranschaulicht außerdem ein wichtiges Prinzip des Threat Huntings: einen legitimen Prozess mit einem ungewöhnlichen Ziel zu kombinieren, statt den Prozess selbst als bösartig zu behandeln.