Silent Lynx napada vlade ZND preko WinRAR propusta
Grupa Silent Lynx, koju Cisco Talos prati kao UAT-6275, iskoristila je ranjivost CVE-2025-8088 u programu WinRAR za isporuku alata PickleShell vladinim organizacijama u devet država Centralne Azije i Zajednice Nezavisnih Država. Cisco Talos i Recorded Future Insikt Group zabeležili su aktivnost od juna 2025. do avgusta 2026, uz četiri različita lanca infekcije i više prilagođenih reverse shell alata.
Među identifikovanim žrtvama i temama mamaca nalaze se Kazahstan, Kirgistan, Tadžikistan, Turkmenistan, Uzbekistan, Jermenija, Azerbejdžan, Rusija i Belorusija. Napadači koriste FoalShell, Chvost, Laplas i PickleShell za interaktivni udaljeni pristup kompromitovanim računarima.
Četiri puta do udaljenog pristupa
Kampanje su zasnovane na ciljanom phishingu sa dokumentima koji obrađuju diplomatske odnose, međunarodnu trgovinu, energetiku i avijaciju. Poruke su slane sa kompromitovanih naloga državnih institucija, a dokumenti su oblikovani tako da deluju zvanično.
Od juna 2025. zabeleženi su Word dokumenti sa makroima koji preuzimaju i pokreću binarni drugi stepen. U julu 2025. grupa je koristila downloadere izrađene alatom PS2EXE, koji PowerShell skripte pakuje kao Windows izvršne datoteke. Oni preuzimaju reverse shell i kreiraju zakazane zadatke radi postojanosti.
U oktobru 2025. korišćena je zlonamerna LNK prečica unutar RAR arhive. Ona pokreće PowerShell, koji zatim preuzima i izvršava skriptu smeštenu na GitHub-u. Kasnije varijante preuzimaju PickleShell i smeštaju ga u Windows Startup folder, kako bi se pokretao pri svakoj prijavi korisnika.
WinRAR propust menja način isporuke
Lanac iz aprila 2026. koristi RAR arhivu koja eksploatiše CVE-2025-8088 i postavlja PickleShell u Windows Startup folder. To je prvi zabeležen slučaj da je UAT-6275 bezbednosnu ranjivost uključio u metod isporuke malvera.
Istraživači su pronašli i tri javno dostupna staging direktorijuma povezana sa akterom. Oni sadrže alate kompatibilne sa Linuxom i javno dostupan dokaz koncepta za CVE-2025-25257, SQL injection ranjivost u Fortinet FortiWeb-u. Taj nalaz ukazuje na širenje operativnih mogućnosti grupe, ali ne potvrđuje korišćenje tog propusta u opisanim kampanjama.
Šta organizacije mogu da provere
Za bezbednosne timove prioritet su ažuriranje WinRAR-a, kontrola arhiva i LNK datoteka iz e-pošte, kao i nadzor PowerShell aktivnosti, zakazanih zadataka i nepoznatih stavki u Startup folderu. Pošto su kompromitovani državni nalozi korišćeni za slanje mamaca, proveru porekla poruke treba dopuniti analizom priloga i ponašanja na krajnjim uređajima.
Praktičan poslovni zaključak je da zaštita e-pošte, upravljanje zakrpama i endpoint nadzor treba da rade kao jedinstven proces: samo njihovo povezivanje omogućava da se phishing prilog, iskorišćen propust i mehanizam postojanosti uoče pre uspostavljanja udaljenog pristupa.