Les utilitaires d'archivage sont des outils de confiance utilisés tous les jours, mais des vulnérabilités dans la logique d'extraction des archives peuvent permettre d'écrire des fichiers en dehors de la destination prévue. Lorsque le chemin obtenu atteint un dossier Startup de Windows, l'impact peut inclure une exécution automatique à l'ouverture de session de l'utilisateur.
La source définit une recherche Sysmon concise pour ce comportement.
Scénario de détection
La requête surveille les événements de création de fichiers générés par :
WinRAR;
RAR;
7-Zip;
les composants d'interface graphique de 7-Zip.
Elle vérifie ensuite si le nom de fichier cible contient un chemin Windows Startup.
La source associe ce comportement aux vulnérabilités de traversée de répertoires de WinRAR CVE-2025-8088 et CVE-2025-6218, ainsi qu'à des abus analogues de l'extraction d'archives.
Requête de détection
data.win.system.eventID:11 and data.win.eventdata.image:(*\winrar.exe or *\rar.exe or *\7z.exe or *\7zg.exe or *\7zfm.exe) and data.win.eventdata.targetFilename:*\Startup\*
La source a enregistré zéro événement au cours des 30 derniers jours.
Pourquoi les écritures dans Startup sont importantes
Écrire un fichier dans Startup ne prouve pas automatiquement une intention malveillante. Cependant, les utilitaires d'archivage extraient normalement dans des emplacements choisis par l'utilisateur ou l'application.
Une écriture directe dans un dossier Startup peut donc être inhabituelle, en particulier lorsque l'archive provient d'un e-mail, d'un téléchargement via le navigateur ou d'une autre source externe.
Le répertoire Startup a également une pertinence en matière de sécurité, car les fichiers qui y sont placés peuvent s'exécuter automatiquement lorsque l'utilisateur ouvre une session.
Étapes d'investigation
Pour toute correspondance, examinez :
le chemin de l'archive source ;
le nom et le hash de l'archive ;
le fichier cible écrit dans Startup ;
l'identité de l'utilisateur ;
la ligne de commande du processus ;
l'activité du navigateur ou de la messagerie avant l'extraction ;
si le fichier créé a été exécuté par la suite.
Si possible, inspectez les chemins internes de l'archive pour déterminer si un comportement de traversée de répertoires est en cause.
Corrélation avec l'exécution
La séquence la plus solide combinerait l'événement de fichier avec l'exécution ultérieure du fichier créé.
Par exemple :
winrar.exe → file created in Startup → user logon → created file executes
Cela fournit davantage de contexte que le seul événement d'écriture de fichier.
Stratégie de réglage
Comme l'empaquetage logiciel légitime ou des flux d'administration peuvent occasionnellement écrire dans les répertoires Startup, l'établissement d'une référence propre à l'environnement reste utile.
Les exceptions doivent être liées à des paquets connus, à des chemins de confiance ou à une activité contrôlée de distribution de logiciels.
Valeur opérationnelle
Il s'agit d'une détection à portée étroite, sans correspondance sur la période de la source. Elle convient donc à une surveillance prioritaire dans les environnements où les utilitaires d'archivage ne devraient jamais placer de fichiers dans Startup.
Elle illustre aussi un principe important de la chasse aux menaces : combiner un processus légitime avec une destination inhabituelle plutôt que de considérer le processus lui-même comme malveillant.
