Silent Lynx ја искористува ранливоста во WinRAR за да распореди обратна школка (Reverse Shell) во напади врз владини организации во ЗНД

На заканувачот познат како Silent Lynx му се припишува нова серија напади насочени кон владини организации низ Заедницата на независни држави (ЗНД).

Активноста, забележана во периодот од јуни 2025 до август 2026 година, вклучува четири различни синџири на заразување кои користат документи со овозможени макроа, преземачи на софтвер создадени со PS2EXE, PowerShell-скрипти хостирани на GitHub и специјално изработени WinRAR-архиви кои ја искористуваат ранливоста CVE-2025-8088.

Нападите доведуваат до инсталирање прилагодени обратни школки (Reverse Shell), како што се FoalShell, Chvost, Laplas и PickleShell. Овие алатки овозможуваат интерактивен далечински пристап до компромитираните системи, според Cisco Talos и Recorded Future Insikt Group, кои ја следат кампањата под кодните имиња UAT-6275 и TAG-193.

„Целите на UAT-6275 се концентрирани во Централна Азија и поширокиот регион на ЗНД“, изјави безбедносната истражувачка Ешли Шен. „Во анализираните кампањи, забележаните жртви и темите користени за измамување на целите опфаќаат девет земји: Казахстан, Киргистан, Таџикистан, Туркменистан, Узбекистан, Ерменија, Азербејџан, Русија и Белорусија.“

Silent Lynx за првпат беше јавно документиран од Seqrite Labs на почетокот на 2025 година. Во извештајот беа истакнати нападите на оваа група врз амбасади, адвокати, банки поддржани од владата и тинк-тенкови во Киргистан и Туркменистан.

Се проценува дека станува збор за заканувачка група поврзана со Казахстан, активна најмалку од 2020 година, која покажува сличности со други групи познати под кодните имиња YoroTrooper (позната и како Comrade Saiga, ShadowSilk и SturgeonPhisher), ShadowSilk, Cavalry Werewolf и Tomiris.

Постои сомневање дека UAT-6275 и YoroTrooper се дел од ист поширок кластер на активности, иако досега не се забележани директни совпаѓања во индикаторите или во алатките што ги користат двете групи.

Претходно оваа година, VMRay објави дека кластерот на закани што го следи под името Hydra Saiga компромитирал најмалку 34 организации во осум земји од декември 2024 година, додека активностите за извидување опфатиле уште над 200 потенцијални цели ширум светот.

Важно е да се напомене дека и Comrade Saiga и Hydra Saiga се однесуваат на истиот заканувач. Префиксот „Hydra“ во кодното име што се користи за следење на групата упатува на силната насоченост на напаѓачите кон пробивање инфраструктура поврзана конкретно со водните ресурси во Централна Азија. За таа цел, тие користат комбинација од сопствени малициозни програми создадени со Rust, Go и Python, како и техники познати како Living-off-the-Land (злоупотреба на легитимни системски алатки за извршување малициозни активности).

Синџирите на напади што ги спроведува оваа група вклучуваат насочени фишинг-мејлови (spear-phishing) со лажни документи на теми поврзани со дипломатските односи, меѓународната трговија, енергетиката и воздухопловството. Во периодот од јануари 2025 до мај 2026 година, во регионот биле идентификувани најмалку осум кампањи.

Фишинг-мејловите се испраќаат од компромитирани владини сметки и содржат документи што изгледаат официјално, со цел нападот преку социјален инженеринг да изгледа веродостојно. „Меѓу идентификуваните мамки имало дипломатско писмо адресирано до Министерството за надворешни работи на Ерменија, формулар за барање дозвола за користење на воздушниот простор на Туркменистан и деловен предлог поврзан со руската рафинерија за нафта во Орск“, соопшти Recorded Future.

Дополнително, откриени се три јавно достапни директориуми за подготовка и дистрибуција на алатки, поврзани со оваа група. Во нив се хостирани алатки компатибилни со Linux, како и јавно достапен експлоатациски код за ранливоста CVE-2025-25257 — пропуст од типот SQL injection во Fortinet FortiWeb. Ова укажува на можно проширување на оперативните способности на напаѓачите.

Идентификувани се четири различни начини на заразување:

– Јуни 2025 година — Користење Word-документи со овозможени макроа за преземање и извршување бинарна датотека од втората фаза на нападот.

– Јули 2025 година — Користење преземачи создадени со PS2EXE, алатка што ги претвора PowerShell-скриптите во извршни датотеки за Windows. Тие преземаат малициозни компоненти за обратна школка (Reverse Shell) и создаваат закажани задачи за одржување постојан пристап до системот.

– Октомври 2025 година — Користење малициозна кратенка (LNK) сместена во RAR-архива за стартување на PowerShell. Скриптата презема и извршува скрипта хостирана на GitHub, која овозможува далечински пристап преку командна школка. Во подоцнежните варијанти се презема и PickleShell, која се поставува во папката Windows Startup за автоматско стартување секогаш кога корисникот ќе се најави на системот.

– Април 2026 година — Користење RAR-архива што ја искористува ранливоста во WinRAR (CVE-2025-8088) за поставување на PickleShell во папката Windows Startup.

Синџирот на заразување од април 2026 година е првиот познат случај во кој групата UAT-6275 искористила безбедносна ранливост како дел од методите за доставување малициозен софтвер.

„Континуираната активност на UAT-6275 и усвојувањето нови техники за доставување малициозен софтвер укажуваат дека групата ќе продолжи да се обидува да добие пристап до владини организации низ Централна Азија и ЗНД“, соопшти Talos. „Нејзиниот интерес за институциите за заштита на животната средина, министерствата за економија и енергетската инфраструктура ја одразува разузнавачката вредност на регионалната дипломатија и управувањето со ресурсите.“

Извори:

• The Hacker News – Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks The Hacker News