What is the CVE assigned to the WinRAR vulnerability exploited by the RomCom threat group in 2025?

Con una búsqueda en Google podemos encontrar el CVE asignado.

What is the nature of this vulnerability?

Mirando los detalles del CVE encontramos la naturaleza de la vulnerabilidad CVE-2025-8088 Detail.

What is the name of the archive file under Susan’s documents folder that exploits the vulnerability upon opening the archive file?

file 2025-09-02T083211_pathology_department_incidentalert.vhdx

2025-09-02T083211_pathology_department_incidentalert.vhdx: Microsoft Disk Image eXtended, by .NET DiscUtils, sequence 0x4, NO Log Signature Microsoft Disk Image Extended; region, 2 entries, id Metadata, at 0x200000, Required 1, id BAT, at 0x300000, Required 1

Cargamos el módulo NBD en el kernel para habilitar los dispositivos de bloque de red (/dev/nbd0), los que qemu-nbd va a usar como puente para conectar el archivo .vhdx al sistema”.

sudo modprobe nbd max_part=8

Conectamos el disco virtual al sistema.

sudo qemu-nbd --connect=/dev/nbd0 2025-09-02T083211_pathology_department_incidentalert.vhdx

Listamos las particiones para ver que partición montar.

sudo fdisk -l /dev/nbd0

/dev/nbd0p1 *       63 1038239 1038177 506.9M  7 HPFS/NTFS/exFAT

Creamos un directorio que vamos a usar para montar la partición.

sudo mkdir -p /mnt/romcom

Montamos la partición.

sudo mount -t ntfs-3g -o ro,force /dev/nbd0p1 /mnt/romcom

Copiamos el archivo $MFT al directorio de trabajo actual.

cp /mnt/romcom/C/\$MFT .

Transferimos el archivo a una máquina Windows levantando un servidor en la máquina donde montamos la partición y descargamos el archivo desde PowerShell.

python3 -m http.server

curl 'http://192.168.56.101:8000/$MFT' -o '$MFT'

Usamos MFTECmd para convertir el binario $MFT en un archivo csv para analizarlo.

.\MFTECmd.exe -f '.\$MFT' --csv .

Usamos Timeline Explorer para analizar el binario MFT.

En la columna Extension filtramos archivos rar y en la columna Parent Path filtramos .\Users\susan\Documents y damos con el nombre del archivo.

When was the archive file created on the disk?

Copiamos el archivo /mnt/romcom/C/$Extend/$J al directorio de trabajo actual.

cp /mnt/romcom/C/\$Extend/\$J .

Transferimos el archivo a nuestra máquina Windows.

python3 -m http.server

curl 'http://192.168.56.101:8000/$J' -o '$J'

Usamos MFTECmd para convertir el binario $J en un archivo csv para analizarlo.

.\MFTECmd.exe -f '.\$J' --csv .

Usamos Timeline Explorer para analizar el binario J. Filtramos por el nombre del archivo Pathology-Department-Research-Records.rar y en la columna Update Reasons buscamos donde dice FileCreate.

When was the archive file opened?

Filtramos por .ink, en la columna Update Reasons filtramos por FileCreate y buscamos el nombre del archivo Pathology-Department-Research-Records.rar.

What is the name of the decoy document extracted from the archive file, meant to appear legitimate and distract the user?

En la columna Parent Path filtramos por \Users\Susan\Documents, buscamos un archivo creado cerca al tiempo de apertura del archivo .rar.

What is the name and path of the actual backdoor executable dropped by the archive file?

En USN Journal filtramos por .exe y buscamos un archivo cercano al horario de apertura del .rar.

En $MFT filtramos por el nombre del archivo del backdoor ApbxHelper.exe y buscamos en la columna Parent Path para reconstruir la ruta completa del backdoor.

The exploit also drops a file to facilitate the persistence and execution of the backdoor. What is the path and name of this file?

En $J filtramos por FileCreate en la columna Update Reasons y buscamos un archivo creado cercano en el tiempo en el que fue creado el backdoor.

What is the associated MITRE Technique ID discussed in the previous question?

Boot or Logon Autostart Execution: Shortcut Modification

When was the decoy document opened by the end user, thinking it to be a legitimate document?

En $MFT filtramos por el nombre del decoy Genotyping_Results_B57_Positive y buscamos un archivo lnk.