Угроза, известная как Silent Lynx, стоит за новой серией атак на правительственные организации стран Содружества Независимых Государств (СНГ). Активность, наблюдавшаяся с июня 2025 по август 2026 года, включает четыре различные цепочки заражения, использующие документы с поддержкой макросов, загрузчики PS2EXE, PowerShell, размещенный на GitHub, и специально созданные архивы WinRAR, эксплуатирующие CVE-2025-8088. Атаки приводят к развертыванию пользовательских обратных оболочек, таких как FoalShell, Chvost, Laplas и PickleShell, которые обеспечивают интерактивный удаленный доступ к скомпрометированным хостам, согласно данным Cisco Talos и Recorded Future Insikt Group, отслеживающих кампанию под кодовыми названиями UAT-6275 и TAG-193.
«Цели UAT-6275 сосредоточены в Центральной Азии и более широком регионе СНГ», — заявила исследователь безопасности Эшли Шен сказала. «Среди рассмотренных кампаний наблюдаемые жертвы и темы приманок охватывают девять стран: Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армению, Азербайджан, Россию и Беларусь».
Silent Lynx впервые был публично задокументирован Seqrite Labs в начале 2025 года, что подчеркнуло атаки злоумышленника на посольства, юристов, поддерживаемые государством банки и аналитические центры в Кыргызстане и Туркменистане. Предполагается, что это группа угроз, связанная с Казахстаном, активная как минимум с 2020 года, имеющая пересечения с другими кластерами под кодовыми названиями YoroTrooper (также известный как Comrade Saiga, ShadowSilk и SturgeonPhisher), ShadowSilk, Cavalry Werewolf и Tomiris. Предполагается, что UAT-6275 и YoroTrooper являются частью одного и того же более широкого кластера активности, хотя прямых совпадений в индикаторах или наборах инструментов между ними не наблюдалось.
Ранее в этом году VMRay сообщила, что отслеживаемый ею кластер угроз Hydra Saiga с декабря 2024 года скомпрометировал по меньшей мере 34 организации в 8 странах, а разведывательные действия распространились более чем на 200 дополнительных целей по всему миру. Стоит отметить, что Comrade Saiga и Hydra Saiga относятся к одному и тому же злоумышленнику. Префикс «hydra» в псевдониме отслеживания является отсылкой к активной ориентации противника на взлом инфраструктуры, связанной конкретно с водными ресурсами в Центральной Азии, с использованием комбинации пользовательских имплантов, написанных на Rust, Go и Python, и техник Living-off-the-Land.
Цепочки атак, используемые злоумышленником, включают фишинговые письма с документами-приманками на темы дипломатических отношений, международной торговли, энергетики и авиации. В период с января 2025 по май 2026 года в регионе было выявлено не менее восьми кампаний. Фишинговые письма отправляются со скомпрометированных правительственных учетных записей и используют официальные на вид документы, чтобы придать атаке социальной инженерии видимость достоверности. «Выявленные приманки включали дипломатическое письмо, адресованное Министерству иностранных дел Армении, форму заявки на воздушное пространство Туркменистана и деловое предложение, касающееся российской Орской нефтеперерабатывающей компании», — заявили в Recorded Future сказали.
Более того, три общедоступных staging-каталога, связанных со злоумышленником, содержали инструментарий, совместимый с Linux, и общедоступный эксплойт для CVE-2025-25257 — уязвимость SQL-инъекции в Fortinet FortiWeb, что указывает на возможное расширение оперативных возможностей злоумышленника.
Последовательности заражения используют четыре различных пути. Цепочка заражения в апреле 2026 года знаменует собой первый случай использования UAT-6275 уязвимости безопасности в качестве метода доставки вредоносного ПО. «Постоянная активность UAT-6275 и внедрение новых методов доставки предполагают, что группа продолжит добиваться доступа к правительственным организациям в Центральной Азии и СНГ», — заявили в Talos. «Ее интерес к природоохранным агентствам, министерствам экономики и энергетической инфраструктуре отражает разведывательную ценность региональной дипломатии и управления ресурсами».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
