YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_EXPL_RAR_Archive_With_Path_Traversal_Aug25

Detects RAR archives abused for path traversal like CVE-2025-8088 and CVE-2025-6218

ExploitSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X

Autor: Arnim Rupp (Nextron Systems)
Fecha: 2025-08-11
Modificada: 2026-05-15
Puntuación / Calidad: 70 / 85

Qué detecta esta regla

Detects RAR archives abused for path traversal like CVE-2025-8088 and CVE-2025-6218

Define 3 patrones (3 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

expl-rar-archive-with-path-traversal-aug25.yarDetection Rule License 1.1

rule SIGNATURE_BASE_EXPL_RAR_Archive_With_Path_Traversal_Aug25 : CVE_2025_8088 CVE_2025_6218 FILE
{
	meta:
		description = "Detects RAR archives abused for path traversal like CVE-2025-8088 and CVE-2025-6218"
		author = "Arnim Rupp (Nextron Systems)"
		id = "641c7e18-a887-5367-8584-2dc41c7ead53"
		date = "2025-08-11"
		modified = "2026-05-15"
		reference = "https://www.welivesecurity.com/en/eset-research/update-winrar-tools-now-romcom-and-others-exploiting-zero-day-vulnerability/#the-discovery-of-cve-2025-8088"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/exploit_rar_archive_with_path_traversal_aug25.yar#L1-L25"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3"
		hash = "dfab2f25c9d870f30bbc4abb873d155cf4904ece536714fb9cd32b2e0126dfab"
		hash = "107f3d1fe28b67397d21a6acca5b6b35def1aeb62a67bc10109bd73d567f9806"
		logic_hash = "eedc5cb144e516a1d50aa8cb2fa386cb44d4c6c2de89267dc1c4d14da972069d"
		score = 70
		quality = 85
		tags = "CVE-2025-8088, CVE-2025-6218, FILE"

	strings:
		$s1 = "..\\\\..\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu"
		$s2 = "..//../AppData/Roaming/Microsoft/Windows/Start Menu"
		$s3 = "/.. /.. /AppData/Roaming/Microsoft/Windows/Start Menu/"

	condition:
		1 of ( $s* ) and ( uint16( 0 ) == 0x4B50 or int32 ( 0 ) == 0x21726152 )
}

Cadenas (3 patrones)

Identificador	Tipo	Valor
$s1	texto	"..\\\\..\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu"
$s2	texto	"..//../AppData/Roaming/Microsoft/Windows/Start Menu"
$s3	texto	"/.. /.. /AppData/Roaming/Microsoft/Windows/Start Menu/"

Condición

1 of ( $s* ) and ( uint16( 0 ) == 0x4B50 or int32 ( 0 ) == 0x21726152 )

En palabras sencillas (Heurística)

El archivo debe empezar por «PK»: un ZIP (también Office Open XML, JAR, APK).
Deben coincidir al menos 1 patrones de ( $s* ).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

https://www.welivesecurity.com/en/eset-research/update-winrar-tools-now-romcom-and-others-exploiting-zero-day-vulnerability/#the-discovery-of-cve-2025-8088

Hashes de muestras

Hashes de las muestras que el autor lista en los metadatos de la regla (búscalos en tu plataforma de threat intelligence).

2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3
dfab2f25c9d870f30bbc4abb873d155cf4904ece536714fb9cd32b2e0126dfab
107f3d1fe28b67397d21a6acca5b6b35def1aeb62a67bc10109bd73d567f9806

Licencia y atribución

Autor: Arnim Rupp (Nextron Systems)

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 641c7e18-a887-5367-8584-2dc41c7ead53

Etiquetas:CVE_2025_8088 CVE_2025_6218 FILE