Una campaña de spearphishing dirigida a sectores estratégicos en Europa y Canadá —incluyendo finanzas, defensa, manufactura y logística— ha sido vinculada al grupo RomCom, conocido por operaciones de ciberespionaje y cibercrimen.
El ataque aprovechó una vulnerabilidad zero-day en versiones antiguas del software WinRAR, específicamente un fallo de tipo path traversal identificado como CVE-2025-8088.
El equipo de investigación de ESET detectó el 18 de julio intentos de explotación que afectaban incluso a la versión 7.12, entonces la más reciente. El vector inicial fue un archivo RAR manipulado, enviado por correo electrónico con apariencia de currículum vitae.
Al descomprimirlo, se desplegaban componentes maliciosos usando alternate data streams, permitiendo escribir y ejecutar archivos fuera de los directorios seguros.
La vulnerabilidad fue corregida el 30 de julio tras ser notificada al fabricante. ESET recomienda actualizar WinRAR de inmediato, fortalecer filtros antiphishing, segmentar redes y monitorear indicadores relacionados con SnipBot, RustyClaw y Mythic, los backdoors utilizados.
Especial atención deben prestar las organizaciones que usen herramientas basadas en UnRAR.dll, dado que también resultan afectadas si no están actualizadas.
