Falha no WinRAR permite Hackers executarem cdigos maliciosos sem alertas no Windows

Uma vulnerabilidade no compactador de arquivos WinRAR pode ser explorada para burlar o alerta de segurança “Mark of the Web” (MotW) e executar códigos maliciosos em máquinas com Windows.

O problema de segurança é identificado como CVE-2025-31334 e afeta todas as versões do WinRAR, exceto a mais recente, que atualmente é a 7.11.

O “Mark of the Web” é um recurso de segurança do Windows que funciona como um valor de metadados (um fluxo alternativo de dados chamado "zone-identifier"), usado para marcar arquivos baixados da internet como potencialmente perigosos. Ao abrir um executável com essa marcação, o sistema exibe um alerta ao usuário, informando que o arquivo veio da internet e pode ser prejudicial, oferecendo a opção de continuar ou cancelar a execução.

Exploração por meio de link simbólico

A vulnerabilidade CVE-2025-31334 permite que hackers contornem o alerta de segurança MotW ao abrir um link simbólico (symlink) que aponta para um arquivo executável em qualquer versão do WinRAR anterior à 7.11. Com isso, é possível executar código malicioso por meio de um link simbólico especialmente criado. Vale destacar que, no Windows, a criação de symlinks requer permissões administrativas.

O problema foi classificado com uma gravidade média, recebendo pontuação 6.8, e foi corrigido na versão 7.11 do WinRAR. Segundo o changelog do aplicativo:“Se um link simbólico apontando para um executável fosse iniciado a partir da interface do WinRAR, os dados do Mark of the Web do executável eram ignorados.”

A falha foi reportada por Shimamine Taihei, da Mitsui Bussan Secure Directions, por meio da Information Technology Promotion Agency (IPA) do Japão. A coordenação da divulgação responsável foi realizada pelo time de resposta a incidentes de segurança cibernética do país (JPCERT).

Desde a versão 7.10, o WinRAR passou a oferecer a opção de remover informações da marcação MotW que possam representar riscos à privacidade, como localização ou endereço IP. Hackers, inclusive aqueles ligados a estados-nação, já exploraram brechas semelhantes no passado para distribuir malwares sem acionar os alertas de segurança. Recentemente, hackers russos exploraram uma falha parecida no compactador 7-Zip, que ignorava a marcação MotW ao realizar dupla compactação, facilitando a execução do malware Smokeloader.

Via - BC