다양한 위협 행위자들, 치명적인 WinRAR 취약점 CVE-2025-8088 악용

해당 블로그의 원문은 2026년 1월 28일 Google Cloud 블로그(영문)에 게재되었습니다. 

소개

구글 위협 인텔리전스 그룹(GTIG)은 윈도우용 인기 파일 압축 도구인 WinRAR의 치명적인 취약점 CVE-2025-8088이 초기 접근을 확보하고 다양한 페이로드를 전달하기 위해 광범위하게 악용되고 있음을 확인했습니다. 2025년 7월에 발견되어 패치가 완료되었지만, 러시아 및 중국과 연계된 정부 지원 위협 행위자들과 금전적 동기를 가진 위협 행위자들은 서로 다른 작전에서 이 n-day 취약점을 계속해서 악용하고 있습니다. 이러한 일관된 악용 방식(지속성 확보를 위해 Windows 시작 폴더에 파일을 생성할 수 있게 하는 경로 조작 취약점)은 기본적인 애플리케이션 보안과 사용자 인식에 있어 방어 공백이 있음을 명확히 보여줍니다.

이 블로그 게시물에서는 CVE-2025-8088과 일반적인 공격 체인에 대한 세부 정보를 제공하고, 금전적 동기를 가진 행위자 및 국가 지원 첩보 행위자들의 악용 사례를 강조하며, 방어 담당자가 이 게시물에 설명된 활동을 탐지하고 추적하는 데 도움이 되는 침해 지표(IOC)를 제공합니다.

이 위협으로부터 보호하기 위해, 우리는 조직과 사용자가 소프트웨어를 최신 상태로 유지하고 보안 업데이트가 제공되는 즉시 설치할 것을 강력히 권장합니다. 취약점이 패치된 후에도 악의적인 행위자들은 n-day를 계속 이용하며 느린 패치 적용률을 자신들의 이점으로 활용할 것입니다. 또한, 이 익스플로잇을 포함한 파일을 능동적으로 식별하고 차단하는 Google 세이프 브라우징과 Gmail 사용을 권장합니다.

취약점 및 악용 메커니즘

CVE-2025-8088은 WinRAR의 심각도 높은 경로 조작 취약점으로, 공격자들은 대체 데이터 스트림(Alternate Data Streams, ADS)을 활용하여 이를 악용합니다. 공격자들은 악성 RAR 아카이브를 제작할 수 있으며, 취약한 버전의 WinRAR에서 이 파일을 열면 시스템의 임의 위치에 파일을 쓸 수 있습니다. 이 취약점의 실제 악용은 빠르면 2025년 7월 18일부터 시작되었으며, 이 취약점은 RARLAB이 2025년 7월 30일에 WinRAR 7.13 버전을 출시하면서 해결되었습니다.

공격 체인은 종종 악성 파일을 아카이브 내부의 미끼 파일(decoy file)의 ADS 내에 숨기는 것을 포함합니다. 사용자는 일반적으로 아카이브 내에서 미끼 문서(예: PDF)를 보게 되지만, 여기에는 숨겨진 페이로드를 포함하는 악성 ADS 항목과 더미 데이터인 다른 항목들이 함께 존재합니다.

페이로드는 지속성 확보를 위해 Windows 시작 폴더를 자주 표적으로 삼는 등, 중요한 디렉터리로 이동하도록 특수하게 조작된 경로와 함께 작성됩니다. 경로 조작의 핵심은 ADS 기능과 디렉터리 조작 문자를 결합하여 사용하는 것입니다.

예를 들어, RAR 아카이브 내의 파일은 innocuous.pdf:malicious.lnk와 같은 복합적인 이름과 ../../../../../Users/<user>/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/malicious.lnk와 같은 악성 경로를 가질 수 있습니다.

아카이브가 열리면, ADS 콘텐츠(malicious.lnk)가 조작된 경로가 지정하는 목적지에 추출되어, 사용자가 다음에 로그인할 때 페이로드가 자동으로 실행됩니다.

우크라이나를 표적으로 삼는 러시아 연계 행위자

러시아 연계 의심 위협 그룹들은 우크라이나 군 및 정부 기관을 대상으로 하는 캠페인에서 지정학적으로 매우 맞춤화된 미끼를 사용하여 CVE-2025-8088을 지속적으로 악용하고 있습니다.

• UNC4895 (CIGAR): UNC4895 (공개적으로 RomCom으로도 보고됨)는 금전적 및 첩보 동기를 동시에 가진 위협 그룹으로, 이들의 캠페인은 종종 수신자에게 맞춤화된 미끼를 포함한 스피어피싱 이메일을 수반합니다. 우리는 우크라이나 군부대를 표적으로 하는 것으로 보이는 제목들을 관찰했습니다. 최종 페이로드는 NESTPACKER 악성코드 제품군(외부적으로 Snipbot으로 알려짐)에 속합니다.

• APT44 (FROZENBARENTS): 이 러시아 APT 그룹은 CVE-2025-8088을 악용하여 우크라이나어 파일명을 가진 미끼 파일과 추가 다운로드를 시도하는 악성 LNK 파일을 생성합니다.

• TEMP.Armageddon (CARPATHIAN): 이 행위자 역시 우크라이나 정부 기관을 표적으로 삼으며, RAR 아카이브를 사용하여 HTA 파일을 시작 폴더에 생성합니다. HTA 파일은 2차 페이로드를 위한 다운로더 역할을 합니다. 초기 다운로더는 일반적으로 HTML 파일 내부에 압축된 아카이브에 포함되어 있습니다. 이 활동은 2026년 1월까지 계속되었습니다.

• Turla (SUMMIT): 이 행위자는 STOCKSTAY 악성코드 제품군을 배포하기 위해 CVE-2025-8088을 채택했습니다. 관찰된 미끼는 우크라이나의 군사 활동 및 드론 작전을 주제로 하고 있습니다.

중국 연계 행위자

• 중국 기반의 한 행위자는 이 취약점을 악용하여 시작 폴더에 BAT 파일을 생성하고, 이를 통해 POISONIVY 악성코드를 배포합니다. 이 BAT 파일은 이후 드로퍼를 다운로드합니다.

금전적 동기 활동

금전적 동기를 가진 위협 행위자들 또한 상업적 대상을 상대로 상용 원격 관리 도구(RAT)와 정보 탈취 악성코드를 배포하기 위해 이 취약점을 신속하게 채택했습니다.

• 미끼 문서를 사용하여 인도네시아의 기관들을 표적으로 삼았던 한 그룹은 이 취약점을 사용하여 .cmd 파일을 시작 폴더에 생성했습니다. 이 스크립트는 드롭박스에서 암호로 보호된 RAR 아카이브를 다운로드하며, 이 아카이브에는 텔레그램 봇 명령 및 제어(C2) 서버와 통신하는 백도어가 포함되어 있습니다.

• 중남미(LATAM) 지역의 호텔 및 여행 분야를 주로 표적으로 삼는 것으로 알려진 한 그룹은 호텔 예약을 주제로 한 피싱 이메일을 사용하여 XWorm 및 AsyncRAT과 같은 상용 RAT를 최종적으로 배포합니다.

• 브라질 사용자를 뱅킹 웹사이트를 통해 표적으로 삼는 한 그룹은 악성 크롬 확장 프로그램을 배포했습니다. 이 확장 프로그램은 두 개의 브라질 뱅킹 사이트 페이지에 자바스크립트를 주입하여 피싱 콘텐츠를 표시하고 자격 증명을 탈취합니다.

• 2025년 12월과 2026년 1월에도, 우리는 상용 RAT와 정보 탈취 악성코드를 포함하여 CVE-2025-8088을 악용하는 사이버 범죄에 의해 악성코드가 계속 배포되는 것을 관찰했습니다.

지하 익스플로잇 생태계: "zeroplayer"와 같은 공급자

다양한 행위자들이 CVE-2025-8088을 광범위하게 사용하는 것은 효과적인 익스플로잇에 대한 수요를 잘 보여줍니다. 이러한 수요는 개인 및 그룹이 다양한 고객에게 익스플로잇을 개발하고 판매하는 것을 전문으로 하는 지하 경제에 의해 충족됩니다. 이러한 상위 공급자의 주목할 만한 예는 2025년 7월에 WinRAR 익스플로잇을 광고했던 "zeroplayer"라는 행위자입니다.

WinRAR 취약점은 zeroplayer가 가진 유일한 익스플로잇이 아닙니다. 역사적으로, 그리고 최근 몇 달 동안, zeroplayer는 위협 행위자들이 보안 조치를 우회할 수 있게 하는 다른 고가의 익스플로잇을 계속해서 제공하고 있습니다. 이 행위자가 광고한 포트폴리오에는 다음이 포함됩니다:

• 2025년 11월, zeroplayer는 마이크로소프트 오피스용 샌드박스 탈출 원격 코드 실행(RCE) 제로데이 익스플로잇을 보유하고 있다고 주장하며 30만 달러에 광고했습니다.

• 2025년 9월 말, zeroplayer는 유명하지만 이름이 알려지지 않은 기업용 VPN 제공업체를 위한 RCE 제로데이 익스플로잇을 광고했습니다. 익스플로잇의 가격은 명시되지 않았습니다.

• 2025년 10월 중순부터, zeroplayer는 윈도우용 제로데이 로컬 권한 상승(LPE) 익스플로잇을 10만 달러에 광고했습니다.

• 2025년 9월 초, zeroplayer는 특정되지 않은 드라이브에 존재하는 취약점에 대한 제로데이 익스플로잇을 광고했습니다. 이 익스플로잇은 공격자가 안티바이러스(AV) 및 엔드포인트 탐지 및 대응(EDR) 소프트웨어를 비활성화할 수 있게 하며, 8만 달러에 광고되었습니다.

익스플로잇의 상위 공급자로서 zeroplayer의 지속적인 활동은 공격 생애 주기의 상품화가 계속되고 있음을 보여줍니다. zeroplayer와 같은 행위자들은 즉시 사용 가능한 기능을 제공함으로써 위협 행위자들의 기술적 복잡성과 자원 요구 사항을 줄여, 랜섬웨어 배포부터 국가 지원 정보 수집에 이르기까지 다양한 동기를 가진 그룹들이 다양한 기능을 활용할 수 있도록 합니다.

결론

다양한 위협 행위자들에 의한 CVE-2025-8088의 광범위하고 기회주의적인 악용은 이 취약점이 상용 초기 접근 벡터로서 입증된 신뢰성을 가지고 있음을 강조합니다. 또한, 이는 n-day 취약점이 제기하는 지속적인 위험을 명확히 상기시켜 줍니다. 치명적인 결함에 대한 신뢰할 수 있는 개념 증명(PoC)이 사이버 범죄 및 첩보 시장에 진입하면, 정교한 정부 지원 작전과 금전적 동기 캠페인 사이의 경계를 모호하게 만들며 즉각적인 채택이 이루어집니다. 이 취약점의 빠른 상품화는 이러한 위협에 대한 성공적인 방어가 즉각적인 애플리케이션 패치와 더불어, 일관되고 예측 가능한 공격 후 전술, 기술 및 절차(TTP)를 탐지하는 방향으로의 근본적인 전환을 요구함을 재확인시켜 줍니다.

침해 지표 (IOCs)

이 블로그 게시물에 설명된 활동을 더 넓은 커뮤니티가 추적하고 식별하는 데 도움이 되도록, 등록된 사용자를 위한 GTI 컬렉션에 침해 지표(IOC)를 포함했습니다.

파일 지표