WinRAR 취약점 CVE-2025-6218
미국 사이버보안 및 인프라 보안국(CISA)은 WinRAR 파일 압축 유틸리티에서 발견된 보안 취약점을 공식적으로 알려진 악용 취약점(KEV) 목록에 추가했습니다. CISA는 해당 취약점이 실제로 악용되고 있다는 증거를 제시하며, 기업과 개인 사용자 모두에게 우려를 불러일으킨다고 밝혔습니다.
CVE-2025-6218로 추적되는 이 취약점(CVSS 점수 7.8)은 공격자가 현재 사용자 권한으로 코드를 실행할 수 있도록 허용하는 경로 탐색 취약점입니다. 이 취약점을 성공적으로 악용하려면 대상이 악성 웹사이트를 방문하거나 특수하게 제작된 파일을 열어야 합니다.
목차
결함 및 패치 상태에 대한 세부 정보
RARLAB은 2025년 6월에 출시된 WinRAR 7.12 버전에서 이 취약점을 해결했습니다. 이 결함은 Windows 기반 빌드에만 영향을 미치며, Unix, Android 및 기타 플랫폼용 버전에는 영향을 미치지 않습니다.
이 취약점을 이용하면 공격자는 Windows 시작 폴더와 같은 시스템의 민감한 위치에 파일을 배치할 수 있으며, 이는 다음 시스템 로그인 시 의도치 않은 코드 실행을 유발할 수 있습니다.
위협 행위자 활동
여러 사이버 보안 보고서에 따르면 CVE-2025-6218은 세 개의 서로 다른 위협 행위자에 의해 악용되었습니다.
- 고피(종이 늑대인간)
- 쓴맛 (APT-C-08 / 만링화)
- 가마레돈
- GOFFEE 캠페인
2025년 7월, GOFFEE는 CVE-2025-6218과 또 다른 심각한 WinRAR 경로 탐색 취약점(CVSS 점수 8.8)인 CVE-2025-8088을 결합하여 피싱 이메일을 통해 기업들을 공격한 것으로 알려졌습니다. 이러한 공격은 기업 환경을 침해하기 위한 조직적이고 정교한 시도임을 시사합니다.
비터 APT 익스플로잇
남아시아를 중심으로 활동하는 APT 그룹인 Bitter는 취약점을 악용하여 감염된 시스템에 지속적으로 접근하고 경량 다운로더를 이용해 C# 트로이목마를 배포했습니다. 이 공격은 'Provision of Information for Sectoral for AJK.rar'라는 이름의 RAR 압축 파일을 이용하는데, 이 파일에는 정상적인 Word 문서와 악성 매크로 템플릿이 포함되어 있습니다.
공격의 핵심 메커니즘은 다음과 같습니다.
- Normal.dotm 파일을 Microsoft Word의 전역 템플릿 경로에 추가하면 Word를 열 때마다 매크로가 자동으로 실행됩니다.
이러한 아카이브는 주로 스피어 피싱 공격을 통해 배포됩니다.
가마레돈 착취
러시아와 연계된 가마레돈(Gamaredon) 그룹은 우크라이나의 군사, 정부, 정치 및 행정 기관을 대상으로 하는 피싱 공격에 CVE-2025-6218 취약점을 악용했습니다. 프테라노돈(Pteranodon)으로 명명된 이 악성코드는 2025년 11월에 처음 발견되었습니다.
여러 정황으로 미루어 볼 때 이는 우발적인 활동이 아닙니다. 이는 러시아 국가 정보기관이 조직적으로 배후에서 조종했을 가능성이 높은, 군사적 목적의 첩보 및 사보타주 행위입니다. 더욱이, Gamaredon은 CVE-2025-8088 취약점을 악용하여 Visual Basic Script 악성코드를 유포하고 GamaWiper라는 파괴적인 데이터 삭제 프로그램을 배포했는데, 이는 Gamaredon이 첩보 활동에서 파괴적인 작전으로 전환한 첫 번째 사례입니다.
보안팀을 위한 핵심 사항
조직 및 보안팀은 다음 조치를 우선적으로 고려해야 합니다.
- WinRAR이 실행되는 모든 Windows 시스템이 버전 7.12 이상으로 업데이트되었는지 확인하십시오.
- 피싱 공격, 특히 RAR 압축 파일이나 워드 문서가 포함된 스피어 피싱 이메일에 대해 경계를 늦추지 마십시오.
- 지속적인 백도어, 키로깅 또는 C2 통신 시도와 같은 의심스러운 활동을 감시하십시오.
- 국가 지원을 받는 행위자들이 표적 공격을 위해 여러 취약점을 결합할 수 있다는 점을 인지해야 합니다.
사전 예방적 패치 적용, 이메일 보안 관리, 엔드포인트 모니터링은 이러한 고도화된 위협을 완화하고 CVE-2025-6218과 같은 취약점 악용으로 인한 운영상의 영향을 제한하는 데 매우 중요합니다.
