Silent Lynx начала использовать уязвимость WinRAR в атаках на СНГ
Группировка Silent Lynx с июня 2025 года по август 2026 года проводила атаки на государственные организации в девяти странах СНГ, включая Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армению, Азербайджан, Россию и Беларусь. В апреле 2026 года операторы впервые использовали уязвимость WinRAR CVE-2025-8088 для доставки обратной оболочки PickleShell.
Cisco Talos отслеживает активность под именем UAT-6275, а Recorded Future Insikt Group — как TAG-193. Исследователи связывают кампанию с Silent Lynx, которая, по оценке Seqrite Labs, действует как минимум с 2020 года и имеет казахстанский контекст.
Четыре схемы доставки вредоносного кода
В кампаниях использовались четыре варианта первоначального заражения. В июне 2025 года злоумышленники рассылали документы Word с поддержкой макросов: они загружали и запускали бинарный файл следующей стадии.
В июле появились загрузчики, собранные с помощью PS2EXE — инструмента упаковки PowerShell-сценариев в исполняемые файлы Windows. Такие программы получали reverse shell и создавали запланированные задачи, чтобы закрепиться в системе.
В октябре 2025 года исследователи зафиксировали RAR-архив с вредоносным ярлыком LNK. Ярлык запускал PowerShell, который скачивал и исполнял размещённый на GitHub сценарий для удалённого доступа. Позднее эта схема также загружала PickleShell и помещала его в папку автозагрузки Windows, обеспечивая запуск при входе пользователя.
Эксплуатация WinRAR и фишинговые приманки
В апреле 2026 года группа перешла к RAR-архивам, использующим CVE-2025-8088 в WinRAR. Эксплойт позволял разместить PickleShell в папке Startup. Cisco Talos отмечает, что это первый известный случай, когда UAT-6275 задействовала уязвимость в механизме доставки вредоносного ПО.
Конечными нагрузками в разных цепочках выступали собственные обратные оболочки FoalShell, Chvost, Laplas и PickleShell. Они предоставляли операторам интерактивный удалённый доступ к скомпрометированным устройствам.
Письма целевого фишинга маскировались под материалы о дипломатических отношениях, международной торговле, энергетике и авиации. Среди приманок Recorded Future называет письмо для МИД Армении, форму заявки на использование воздушного пространства Туркменистана и деловое предложение по Орскому нефтеперерабатывающему заводу. Для повышения доверия письма отправлялись со скомпрометированных государственных учётных записей.
Что проверить организациям
Отдельно исследователи обнаружили три публичных каталога подготовки инфраструктуры, связанные с операторами. В них находились инструменты для Linux и общедоступный proof-of-concept для CVE-2025-25257 — SQL-инъекции в Fortinet FortiWeb. Это наблюдение указывает на набор доступных группе инструментов, но не подтверждает применение этой уязвимости в описанных кампаниях.
Для организаций практический вывод состоит в контроле вложений и архивов из почты, оперативном обновлении WinRAR, ограничении макросов, PowerShell и запуска LNK-файлов. Проверять необходимо и сообщения с привычных адресов: в этой кампании доверие к отправителю строилось на уже взломанных государственных аккаунтах.