Utilitarele de arhivare sunt instrumente de încredere folosite zilnic, dar vulnerabilitățile din logica de extragere a arhivelor pot permite scrierea fișierelor în afara destinației așteptate. Când calea rezultată ajunge într-un folder Windows Startup, impactul poate include execuția automată după autentificarea utilizatorului.
Sursa definește o vânătoare Sysmon concisă pentru acest comportament.
Scenariul de detecție
Interogarea monitorizează evenimentele de creare a fișierelor generate de:
WinRAR;
RAR;
7-Zip;
componentele GUI ale 7-Zip.
Apoi verifică dacă numele fișierului țintă conține o cale Windows Startup.
Sursa asociază acest comportament cu vulnerabilitățile de path traversal din WinRAR CVE-2025-8088 și CVE-2025-6218 și cu abuzuri analoage de extragere a arhivelor.
Interogarea de detecție
data.win.system.eventID:11 and data.win.eventdata.image:(*\winrar.exe or *\rar.exe or *\7z.exe or *\7zg.exe or *\7zfm.exe) and data.win.eventdata.targetFilename:*\Startup\*
Sursa a înregistrat zero evenimente în ultimele 30 de zile.
De ce sunt importante scrierile în Startup
Scrierea unui fișier în Startup nu dovedește automat intenția malițioasă. Cu toate acestea, utilitarele de arhivare extrag în mod normal în locații selectate de utilizator sau de aplicație.
O scriere directă într-un folder Startup poate fi, prin urmare, neobișnuită, mai ales atunci când arhiva provine dintr-un e-mail, dintr-o descărcare de browser sau dintr-o altă sursă externă.
Directorul Startup are, de asemenea, relevanță de securitate deoarece fișierele plasate acolo se pot executa automat atunci când utilizatorul se autentifică.
Pași de investigare
Pentru orice potrivire, examinați:
calea arhivei sursă;
numele și hash-ul arhivei;
fișierul țintă scris în Startup;
identitatea utilizatorului;
linia de comandă a procesului;
activitatea din browser sau e-mail înainte de extragere;
dacă fișierul creat s-a executat ulterior.
Dacă este posibil, inspectați căile interne ale arhivei pentru a determina dacă a fost implicat un comportament de traversare.
Corelarea cu execuția
Cea mai puternică secvență ar combina evenimentul de fișier cu execuția ulterioară a fișierului creat.
De exemplu:
winrar.exe → fișier creat în Startup → autentificare utilizator → fișierul creat se execută
Acest lucru oferă mai mult context decât evenimentul de scriere a fișierului în sine.
Strategia de reglare
Deoarece împachetarea legitimă de software sau fluxurile de lucru administrative pot scrie ocazional în directoarele Startup, stabilirea unui baseline specific mediului este în continuare utilă.
Excepțiile ar trebui legate de pachete cunoscute, căi de încredere sau activitate controlată de distribuție a software-ului.
Valoarea operațională
Aceasta este o detecție cu domeniu îngust, fără potriviri în perioada sursă. Acest lucru o face potrivită pentru monitorizare cu prioritate ridicată în mediile în care instrumentele de arhivare nu ar trebui niciodată să plaseze fișiere în Startup.
De asemenea, demonstrează un principiu important de vânătoare: combinați un proces legitim cu o destinație neobișnuită, în loc să tratați procesul în sine ca fiind malițios.
