Archiefhulpprogramma's zijn vertrouwde hulpmiddelen die dagelijks worden gebruikt, maar kwetsbaarheden in de extractielogica van archieven kunnen ertoe leiden dat bestanden buiten de verwachte bestemming worden geschreven. Wanneer het resulterende pad in een Windows-opstartmap terechtkomt, kan het gevolg automatische uitvoering na het inloggen van de gebruiker zijn.

De bron definieert een beknopte Sysmon-zoekactie voor dit gedrag.

Detectiescenario

De zoekopdracht bewaakt gebeurtenissen voor bestandscreatie die worden gegenereerd door:

• WinRAR;

• RAR;

• 7-Zip;

• 7-Zip GUI-componenten.

Vervolgens wordt gecontroleerd of de doelbestandsnaam een Windows-Startup-pad bevat.

De bron koppelt dit gedrag aan de WinRAR-kwetsbaarheden voor path traversal CVE-2025-8088 en CVE-2025-6218 en aan vergelijkbaar misbruik van archiefextractie.

Detectiequery

data.win.system.eventID:11 and data.win.eventdata.image:(*\winrar.exe or *\rar.exe or *\7z.exe or *\7zg.exe or *\7zfm.exe) and data.win.eventdata.targetFilename:*\Startup\*

De bron registreerde nul gebeurtenissen in de afgelopen 30 dagen.

Waarom schrijfacties naar de opstartmap belangrijk zijn

Het schrijven van een bestand naar de opstartmap bewijst niet automatisch kwaadwillige bedoelingen. Archiefhulpprogramma's extraheren echter normaal naar locaties die door de gebruiker of toepassing zijn gekozen.

Een directe schrijfactie naar een opstartmap kan daarom ongebruikelijk zijn, vooral wanneer het archief afkomstig is uit e-mail, een browserdownload of een andere externe bron.

De opstartmap is ook beveiligingsrelevant, omdat bestanden die daar worden geplaatst automatisch kunnen worden uitgevoerd wanneer de gebruiker zich aanmeldt.

Onderzoeksstappen

Controleer bij elke overeenkomst:

• het bronpad van het archief;

• bestandsnaam en hash van het archief;

• het doelbestand dat naar de opstartmap is geschreven;

• gebruikersidentiteit;

• de opdrachtregel van het proces;

• browser- of e-mailactiviteit vóór extractie;

• of het aangemaakte bestand later is uitgevoerd.

Inspecteer indien mogelijk de interne paden van het archief om vast te stellen of er sprake was van traversalgedrag.

Correleren met uitvoering

De sterkste sequentie zou de bestandsgebeurtenis combineren met de latere uitvoering van het aangemaakte bestand.

Bijvoorbeeld:

winrar.exe → file created in Startup → user logon → created file executes

Dit geeft meer context dan de bestandsschrijfgebeurtenis alleen.

Afstemmingsstrategie

Omdat legitieme softwareverpakking of beheerwerkstromen af en toe naar opstartmappen kunnen schrijven, blijft een omgevingsspecifieke referentiebasis nuttig.

Uitzonderingen moeten worden gekoppeld aan bekende pakketten, vertrouwde paden of gecontroleerde softwaredistributie.

Operationele waarde

Dit is een nauw afgebakende detectie zonder overeenkomsten in de bronperiode. Dat maakt haar geschikt voor bewaking met hoge prioriteit in omgevingen waar archiefprogramma's nooit bestanden in de opstartmap zouden mogen plaatsen.

Ze toont ook een belangrijk huntingprincipe: combineer een legitiem proces met een ongebruikelijke bestemming in plaats van het proces zelf als kwaadaardig te beschouwen.