Gli strumenti di archiviazione sono strumenti attendibili usati ogni giorno, ma le vulnerabilità nella logica di estrazione degli archivi possono consentire la scrittura di file al di fuori della destinazione prevista. Quando il percorso risultante raggiunge una cartella Startup di Windows, l'impatto può includere l'esecuzione automatica dopo l'accesso dell'utente.
La fonte definisce una concisa ricerca Sysmon per questo comportamento.
Scenario di rilevamento
La query monitora gli eventi di creazione file generati da:
WinRAR;
RAR;
7-Zip;
componenti dell'interfaccia grafica di 7-Zip.
Verifica poi se il nome del file di destinazione contiene un percorso Windows Startup.
La fonte associa questo comportamento alle vulnerabilità di path traversal di WinRAR CVE-2025-8088 e CVE-2025-6218 e ad analoghi abusi dell'estrazione degli archivi.
Query di rilevamento
data.win.system.eventID:11 and data.win.eventdata.image:(*\winrar.exe or *\rar.exe or *\7z.exe or *\7zg.exe or *\7zfm.exe) and data.win.eventdata.targetFilename:*\Startup\*
La fonte ha registrato zero eventi nei 30 giorni precedenti.
Perché le scritture in Startup sono importanti
Scrivere un file in Startup non prova automaticamente un'intenzione dannosa. Tuttavia, gli strumenti di archiviazione normalmente estraggono in posizioni scelte dall'utente o dall'applicazione.
Una scrittura diretta in una cartella Startup può quindi essere insolita, soprattutto quando l'archivio proviene da e-mail, da un download dal browser o da un'altra fonte esterna.
La cartella Startup ha anche rilevanza per la sicurezza, perché i file collocati al suo interno possono essere eseguiti automaticamente quando l'utente effettua l'accesso.
Fasi dell'indagine
Per ogni corrispondenza, esamini:
il percorso dell'archivio di origine;
nome file e hash dell'archivio;
file di destinazione scritto in Startup;
identità dell'utente;
riga di comando del processo;
attività del browser o della posta prima dell'estrazione;
se il file creato è stato eseguito in seguito.
Se possibile, ispezioni i percorsi interni dell'archivio per stabilire se sia stato coinvolto un comportamento di path traversal.
Correlazione con l'esecuzione
La sequenza più solida combinerebbe l'evento di file con la successiva esecuzione del file creato.
Ad esempio:
winrar.exe → file created in Startup → user logon → created file executes
Ciò fornisce più contesto del solo evento di scrittura del file.
Strategia di ottimizzazione
Poiché la creazione legittima di pacchetti software o i flussi di lavoro amministrativi possono occasionalmente scrivere nelle cartelle Startup, resta utile una baseline specifica per l'ambiente.
Le eccezioni dovrebbero essere legate a pacchetti noti, percorsi attendibili o attività controllate di distribuzione del software.
Valore operativo
Si tratta di un rilevamento strettamente circoscritto, senza corrispondenze nel periodo della fonte. Ciò lo rende adatto a un monitoraggio ad alta priorità negli ambienti in cui gli strumenti di archiviazione non dovrebbero mai collocare file in Startup.
Dimostra inoltre un importante principio di threat hunting: combinare un processo legittimo con una destinazione insolita anziché considerare dannoso il processo stesso.
