WinRAR-Lücke CVE-2025-8088: Russische Gamaredon verbreitet GammaWorm

Aktuelle Berichte dokumentieren eine weitreichende Cyberspionage-Kampagne der russischen Gruppierung Gamaredon, die dem Inlandsgeheimdienst FSB zugerechnet wird. Die Angreifer nutzen eine kritische Sicherheitslücke in der weit verbreiteten Komprimierungssoftware WinRAR aus, um Schadsoftware auf ukrainischen Systemen zu platzieren. Im Zentrum der Aktivitäten stehen die Schadprogramme GammaWorm und GammaSteel, die über eine Schwachstelle mit der Kennung CVE-2025-8088 verbreitet werden. Dabei handelt es sich um eine sogenannte Path-Traversal-Lücke, die den Angreifern unbefugten Zugriff auf Dateipfade ermöglicht.

Die Sicherheitsforscher von Sekoia beobachteten diese spezifische Kampagne erstmals Anfang des Jahres. Die dabei eingesetzte Infektionskette ist mehrstufig aufgebaut und beginnt in der Regel mit GammaPhish, einer schädlichen HTML-Anwendung. Im weiteren Verlauf kommt der Downloader GammaLoad zum Einsatz, der schließlich die Installation der Kernkomponenten GammaWorm und GammaSteel initiiert.

Technische Details der Infektionskette

GammaWorm agiert als VBScript-basierter Wurm und verfolgt eine raffinierte Strategie zur Tarnung und Persistenz auf den Zielsystemen. Das Programm ist darauf programmiert, legitime Verzeichnisse zu verstecken und diese durch manipulierte LNK-Dateien zu ersetzen. Sobald ein Nutzer diese Dateien öffnet, wird der Schadcode ausgeführt. Zur Kommunikation mit den Command-and-Control-Servern (C2) nutzen die Angreifer den Kurznachrichtendienst Telegram. Ein wesentliches Merkmal für die Unauffälligkeit von GammaWorm ist laut technischen Analysen die Nutzung von NTFS Alternate Data Streams (ADS). Diese Technik ermöglicht es, den Schadcode in Metadatenfeldern des Dateisystems zu verbergen, die von vielen herkömmlichen Sicherheitsprogrammen nicht standardmäßig gescannt werden.

Angriffe durch hochspezialisierte Spionage-Software zeigen, wie wichtig ein proaktiver Schutz für den eigenen PC ist. Dieser kostenlose Experten-Report enthüllt, wie Sie sich in wenigen Schritten effektiv vor unbefugtem Zugriff schützen können. Wie ausgespäht ist Ihr Windows-PC wirklich?

Das Schadprogramm GammaSteel dient primär der Exfiltration sensibler Informationen. Die Software ist in der Lage, Dateien von infizierten Systemen zu stehlen und diese entweder direkt an Server der Angreifer oder an Cloud-Infrastrukturen wie AWS S3 zu übertragen. Die Architektur von GammaSteel wird als modular und wiederverwendbar beschrieben. Dieses Design erlaubt es den Akteuren hinter Gamaredon, einzelne Komponenten der Software effizient für verschiedene Einsatzszenarien anzupassen oder zu aktualisieren.

Kontext der russischen Cyberoperationen

Wer sich mit der zunehmenden Bedrohung durch Cyberkriminalität befasst, sollte die gängigen Einfallstore für Schadsoftware kennen. PC-Sicherheitsexperten verraten in diesem kostenlosen PDF-Download ihre besten Schutzmaßnahmen gegen Viren und Spionage. Gratis Anti-Virus-Paket jetzt herunterladen

Neben den Aktivitäten von Gamaredon wurden im Zusammenhang mit den Angriffen auf ukrainische Ziele weitere Bedrohungsakteure identifiziert. Dazu gehören die Gruppierungen UAC-0184 und UAC-0247. Zudem berichten Analysten von Aktivitäten der Gruppe APT28, die einen sogenannten PixyNetLoader einsetzt. Diese Gruppe nutzt für ihre Operationen eine weitere Sicherheitslücke mit der Kennung CVE-2026-21509 aus.

Die aktuelle Kampagne verdeutlicht die kontinuierliche Weiterentwicklung der Angriffsmethoden staatlich gestützter Akteure. Durch die Kombination bekannter Schwachstellen in Alltagssoftware wie WinRAR mit spezialisierten Tarnmechanismen wie NTFS-ADS und der Nutzung legitimer Cloud-Dienste zur Datenexfiltration gelingt es den Angreifern, ihre Operationen über Monate hinweg aufrechtzuerhalten. Experten weisen darauf hin, dass die modulare Struktur der eingesetzten Malware-Familien auf eine langfristige Planung und hohe Ressourcenverfügbarkeit innerhalb der russischen Geheimdienststrukturen hindeutet.

de | wissenschaft | 69908123 |