Una nueva investigación de Trend Micro ha revelado que, casi un año después de que se publicara el parche de seguridad para la vulnerabilidad CVE‑2025‑8088 de WinRAR, dos grupos de ataque vinculados a Rusia continúan explotándola contra organizaciones en Ucrania. Los actores, identificados como Earth Dahu (también conocido como Gamaredon) y SHADOW‑EARTH‑066 (UAC‑0226), están utilizando la debilidad de "path traversal" para infiltrar software de tipo stealer que roba credenciales y datos sensibles.

La vulnerabilidad, descubierta en la popular herramienta de compresión WinRAR, permite a un atacante crear un archivo .rar especialmente diseñado que, al ser abierto, escribe archivos en ubicaciones arbitrarias del sistema víctima. En términos simples, el atacante puede colocar código malicioso en carpetas críticas del ordenador, facilitando la ejecución de payloads sin que el usuario lo detecte. Aunque la empresa RARLAB lanzó un parche en diciembre de 2024, muchos usuarios y organizaciones siguen sin aplicar la actualización, creando un caldo de cultivo ideal para los cibercriminales.

Los hallazgos de Trend Micro indican que los grupos pro‑ruso han adaptado sus campañas a la persistencia del problema. Utilizan correos electrónicos de phishing dirigidos a empleados de entidades gubernamentales, financieras y de infraestructura crítica ucranianas. Los mensajes suelen disfrazarse como documentos legítimos, invitando a los destinatarios a descargar un archivo adjunto .rar. Al abrirlo, el exploit aprovecha la falla para depositar un stealer que recopila credenciales de acceso, información bancaria y datos de proyectos confidenciales.

Este tipo de ataque tiene varias implicaciones estratégicas. En primer lugar, refuerza la tendencia de que los conflictos geopolíticos se traduzcan en operaciones de ciberespionaje y sabotaje. Ucrania, al ser el principal objetivo, ha sido blanco de campañas de desinformación y ataques a su infraestructura crítica desde la invasión de 2022. La reutilización de una vulnerabilidad ya conocida muestra una falta de ciberhigiene en sectores que deberían estar al día con los parches críticos.

En segundo lugar, la persistencia de la vulnerabilidad destaca la necesidad de una gestión de parches más proactiva. Según datos de la Agencia Europea de Seguridad de Redes y de la Información (ENISA), más del 40 % de los incidentes de seguridad en 2023 se debieron a la falta de actualización de software. En el caso de WinRAR, la distribución masiva del programa y su uso en entornos corporativos lo convierten en un vector de ataque de alto impacto.

Para mitigar el riesgo, los especialistas recomiendan varias medidas: actualizar inmediatamente a la versión 6.24 o superior de WinRAR; bloquear la ejecución de archivos .rar provenientes de fuentes no verificadas; y reforzar la capacitación de los empleados en detección de phishing. Además, el despliegue de soluciones de detección y respuesta (EDR) puede identificar comportamientos anómalos asociados a los stealer, limitando la exposición.

La comunidad de seguridad también ha pedido a los proveedores de software que adopten procesos de divulgación más ágiles y que ofrezcan actualizaciones automáticas. En el caso de WinRAR, la empresa ha sido criticada por no forzar actualizaciones automáticas, lo que ha dejado a muchos usuarios en una posición vulnerable. Una política de actualización obligatoria podría reducir significativamente la superficie de ataque.

En conclusión, la reutilización de la vulnerabilidad CVE‑2025‑8088 por parte de grupos alineados con Rusia subraya la intersección entre conflictos internacionales y ciberamenazas persistentes. La falta de aplicación de parches sigue siendo una de las principales brechas de seguridad, y la presión sobre organizaciones para modernizar sus prácticas de gestión de vulnerabilidades nunca ha sido tan urgente. La lección para los profesionales tech hispanohablantes es clara: la ciberseguridad no es una tarea puntual, sino un proceso continuo que requiere vigilancia, educación y respuestas rápidas ante cualquier señal de compromiso.

La vigilancia constante y la cooperación entre gobiernos, empresas y la comunidad de seguridad son esenciales para frenar este tipo de campañas. Solo a través de una defensa coordinada se podrá reducir el impacto de los ataques que buscan explotar vulnerabilidades ya conocidas, pero que siguen siendo efectivas por la inercia de la actualización tecnológica.