Siber güvenlik şirketi ESET, popüler dosya sıkıştırma yazılımı WinRAR’da daha önce bilinmeyen ciddi bir sıfır gün güvenlik açığı tespit etti. Windows sürümleri, UnRAR.dll ve taşınabilir UnRAR kaynak kodunu kullananların risk altında olduğu belirtilerek kullanıcıların en kısa sürede güncelleme yapmaları tavsiye edildi.
RomCom grubu güvenlik açığını istismar etti
ESET araştırmacıları tarafından keşfedilen açık, Rusya bağlantılı RomCom grubu tarafından gerçek saldırılarda kullanıldı. 18-21 Temmuz 2025 tarihleri arasında Avrupa ve Kanada’daki finans, üretim, savunma ve lojistik şirketlerine yönelik spearphishing kampanyalarında kötü amaçlı arşivler dağıtıldı. Bu saldırılar, RomCom’un sıfır gün açıklarını üçüncü kez aktif şekilde kullandığını gösteriyor.
Tehlikeli spearphishing yöntemleri
ESET araştırmacıları Peter Strýček ve Anton Cherepanov, 18 Temmuz’da olağan dışı yollar içeren bir RAR arşivinde “msedge.dll” adlı kötü amaçlı bir dosya tespit ettiklerini açıkladı. Yapılan analizlerde, saldırganların WinRAR 7.12 sürümü dahil olmak üzere birçok versiyonda etkili olan bu güvenlik açığını kullandığı belirlendi. WinRAR geliştiricileri ile iletişime geçildikten sonra açık beta sürümünde hızla giderildi ve ardından güncel sürüm yayımlandı.
CVE-2025-8088 açığı nedir?
CVE-2025-8088 olarak adlandırılan bu açık, alternatif veri akışlarını kullanarak yol geçiş güvenlik açığına yol açıyor. Saldırganlar, sahte CV belgeleri gibi görünen arşivler aracılığıyla hedef sistemlere sızmayı denedi. ESET verilerine göre saldırılarda başarılı ele geçirme yaşanmadı, ancak RomCom’un son derece hedefli keşif çalışmaları yaptığı ve gelişmiş arka kapı yazılımları kullandığı belirtildi. Bunlar arasında SnipBot’un bir varyantı, RustyClaw ve Mythic ajanı öne çıkıyor.
RomCom grubunun geçmişi
RomCom (Storm-0978, Tropical Scorpius veya UNC2596 olarak da bilinir), uzun süredir Avrupa’daki hükümet, savunma ve özel sektör kuruluşlarını hedef alan siber casusluk operasyonlarıyla biliniyor. Grup, 2023’te Ukrayna Dünya Kongresi üzerinden yürüttüğü saldırılarla da gündeme gelmişti. Bugün gelinen noktada ise RomCom’un klasik siber suç faaliyetlerinden jeopolitik motivasyonlu casusluk operasyonlarına kaydığı görülüyor.
WinRAR’daki bu kritik açık, milyonlarca kullanıcının günlük olarak kullandığı yazılımlarda bile ciddi güvenlik riskleri olabileceğini bir kez daha gösterdi. RomCom’un bu açığı hızla istismar etmesi, devlet bağlantılı grupların siber operasyonlara büyük kaynak ayırdığının da kanıtı. Kullanıcıların güncellemeleri geciktirmemesi ve bilinmeyen arşiv dosyalarını açarken ekstra dikkatli olması büyük önem taşıyor. Siz güncellemelerinizi düzenli yapıyor musunuz?
