Las utilidades de compresión son herramientas confiables que se usan a diario, pero las vulnerabilidades en la lógica de extracción pueden permitir que se escriban archivos fuera del destino esperado. Cuando la ruta resultante llega a una carpeta Startup de Windows, el impacto puede incluir la ejecución automática tras el inicio de sesión del usuario.

La fuente define una búsqueda concisa de Sysmon para este comportamiento.

Escenario de detección

La consulta supervisa los eventos de creación de archivos generados por:

• WinRAR;

• RAR;

• 7-Zip;

• componentes de interfaz gráfica de 7-Zip.

A continuación, comprueba si el nombre de archivo de destino contiene una ruta de Windows Startup.

La fuente asocia este comportamiento con las vulnerabilidades de recorrido de directorios de WinRAR CVE-2025-8088 y CVE-2025-6218, y con abusos análogos de la extracción de archivos comprimidos.

Consulta de detección

data.win.system.eventID:11 and data.win.eventdata.image:(*\winrar.exe or *\rar.exe or *\7z.exe or *\7zg.exe or *\7zfm.exe) and data.win.eventdata.targetFilename:*\Startup\*

La fuente registró cero eventos durante los 30 días anteriores.

Por qué son importantes las escrituras en Startup

Escribir un archivo en Startup no demuestra automáticamente una intención maliciosa. Sin embargo, las utilidades de compresión normalmente extraen en ubicaciones seleccionadas por el usuario o la aplicación.

Por ello, una escritura directa en una carpeta Startup puede ser inusual, especialmente cuando el archivo comprimido procede del correo electrónico, de una descarga del navegador o de otra fuente externa.

El directorio Startup también es relevante para la seguridad, ya que los archivos colocados allí pueden ejecutarse automáticamente cuando el usuario inicia sesión.

Pasos de investigación

Ante cualquier coincidencia, revise:

• la ruta del archivo comprimido de origen;

• nombre y hash del archivo comprimido;

• archivo de destino escrito en Startup;

• identidad del usuario;

• línea de comandos del proceso;

• actividad del navegador o del correo antes de la extracción;

• si el archivo creado se ejecutó posteriormente.

Si es posible, inspeccione las rutas internas del archivo comprimido para determinar si hubo comportamiento de recorrido de directorios.

Correlación con la ejecución

La secuencia más sólida combinaría el evento de archivo con la ejecución posterior del archivo creado.

Por ejemplo:

winrar.exe → file created in Startup → user logon → created file executes

Esto aporta más contexto que el evento de escritura de archivo por sí solo.

Estrategia de ajuste

Dado que el empaquetado legítimo de software o los flujos administrativos pueden escribir ocasionalmente en directorios Startup, sigue siendo útil definir una línea base específica del entorno.

Las excepciones deben vincularse a paquetes conocidos, rutas confiables o actividad controlada de distribución de software.

Valor operativo

Se trata de una detección de alcance reducido sin coincidencias en el período de la fuente. Eso la hace adecuada para una supervisión de alta prioridad en entornos donde las utilidades de compresión nunca deberían colocar archivos en Startup.

También demuestra un principio clave de la búsqueda: combinar un proceso legítimo con un destino inusual en lugar de tratar el proceso en sí como malicioso.