Silent Lynx: exploit de WinRAR contra gobiernos de la CEI

El 15 de octubre, Cisco Talos e Insikt Group de Recorded Future publicaron un informe conjunto sobre Silent Lynx, un grupo de ciberespionaje que los investigadores vinculan, con confianza media, a Kazajistán. El grupo ataca ministerios, misiones diplomáticas y organismos públicos de la Comunidad de Estados Independientes (CEI) y, en abril de 2026, usó por primera vez un exploit: la vulnerabilidad de WinRAR CVE-2025-8088, para colocar el malware en la carpeta de inicio de Windows. La noticia la recogieron The Record, Security Affairs y The Hacker News.

Qué ha pasado

Talos sigue al grupo como UAT-6275 e Insikt Group como TAG-193. Según Security Affairs, la actividad coincide con la ya descrita con los nombres YoroTrooper, ShadowSilk e Hydra Saiga. Las fuentes difieren sobre la duración: The Record habla de al menos ocho campañas desde enero de 2025, mientras que Security Affairs, citando el informe, escribe que el grupo está activo al menos desde 2024.

Según The Record, los objetivos, reales o de interés, son organismos gubernamentales de nueve países, entre ellos Rusia, Bielorrusia, Armenia, Uzbekistán y Tayikistán, con especial atención a asuntos exteriores, desarrollo económico, agricultura, medio ambiente, energía y recursos hídricos. Las dos fuentes citan varios casos:

• un organismo gubernamental tayiko, en marzo de 2026, poco después de que el parlamento kazajo ratificara un tratado de alianza con Tayikistán;
• un organismo gubernamental bielorruso, en abril, alrededor de una semana antes de una reunión bilateral en Astaná;
• una agencia armenia de medio ambiente y la iniciativa uzbeka Smart Forestry (The Record);
• la refinería de Orsk, en Rusia, y la administración de Nizhni Nóvgorod (Security Affairs).

Los investigadores precisan que la coincidencia con los acontecimientos diplomáticos no demuestra qué información buscaba el grupo ni si la consiguió.

Detalles técnicos

• Acceso inicial: correos de spear phishing con adjuntos que imitan correspondencia diplomática, formularios aeronáuticos y propuestas comerciales, a menudo enviados desde buzones gubernamentales ya comprometidos (en Tayikistán y Kirguistán, según Security Affairs).
• CVE-2025-8088 (WinRAR): una vulnerabilidad de path traversal que, al abrir un archivo comprimido preparado, escribe ficheros fuera de la carpeta de extracción. En abril de 2026, en una operación que probablemente apuntaba al Ministerio de Asuntos Exteriores de Armenia, el grupo la usó para colocar el malware en la carpeta Inicio (Startup) de Windows, que se ejecuta en el siguiente inicio de sesión del usuario. No hacen falta macros. Es el primer exploit observado en el arsenal del grupo.
• Herramientas: reverse shells en PowerShell, shells propias escritas en C++, C# y Go (el informe cita Chvost y PickleShell) y herramientas de tunelización comunes.
• Infraestructura: scripts y ficheros alojados en GitHub, en Telegram y en servidores legítimos comprometidos, para confundirse con el tráfico normal.
• Ejemplo de señuelo: una muestra compilada en agosto de 2025 usaba un PDF en ruso sobre una supuesta propuesta de colaboración entre la empresa turcomana Turkmennebit y la refinería de Orsk, creado una hora después del payload.
• Nuevos intereses: en el servidor de mando y control había una prueba de concepto pública para un bypass de autenticación de FortiWeb (las fuentes no indican la CVE) y hay señales de interés por los sistemas Linux.

MITRE ATT&CK (nuestra correspondencia, a partir de las actividades descritas): T1566.001 (Spearphishing Attachment), T1586.002 (Compromise Accounts: Email Accounts), T1203 (Exploitation for Client Execution), T1547.001 (Registry Run Keys / Startup Folder), T1059.001 (PowerShell), T1102 (Web Service), T1572 (Protocol Tunneling).

Cómo llegaron a Kazajistán

Según Security Affairs, el grupo se delató solo al dejar directorios abiertos en servidores públicos con herramientas, payloads y el historial de comandos de una shell: whoami tecleado con la distribución rusa activa se convirtió en «црщфьш». Otros indicios citados:

• el 95% de los 77 commits en GitHub cae dentro del horario laboral de Astaná, frente al 51% con la hora de Moscú;
• los accesos de administración llegaban desde direcciones de ProtonVPN geolocalizadas en Kazajistán, solo en días laborables entre las 7 y el mediodía;
• dos muestras se subieron a VirusTotal desde Kazajistán 86 segundos y unos cuatro minutos después de la compilación, una típica prueba de detección;
• material en ruso en el malware (The Record).

Impacto para las empresas europeas e italianas

Las fuentes no citan víctimas en la Unión Europea. El riesgo afecta sobre todo a quien tiene relaciones con organismos públicos y empresas energéticas de Asia central: los correos llegan desde direcciones institucionales auténticas pero comprometidas, así que superan los controles sobre el remitente. El vector técnico, en cambio, es general: WinRAR está instalado en muchísimos equipos de empresa, a menudo sin actualizaciones automáticas. Para las entidades NIS2 de los sectores de la energía y la administración pública, una versión vulnerable sin actualizar es una laguna en la gestión de vulnerabilidades.

Qué hacer ya

1. Actualiza WinRAR en todos los equipos a la versión más reciente (la corrección de CVE-2025-8088 está disponible desde la 7.13) y haz un inventario de las versiones instaladas, incluidas las copias portables.
2. Vigila la carpeta Inicio: señala cada fichero nuevo en %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup y en la carpeta común, sobre todo si lo escribe WinRAR o un proceso de extracción.
3. Controla PowerShell: activa el registro de bloques de script y busca conexiones salientes iniciadas por powershell.exe hacia direcciones poco conocidas.
4. Filtra los adjuntos comprimidos de remitentes externos, también institucionales, y analízalos en sandbox.
5. Observa el tráfico hacia GitHub y Telegram desde equipos que no deberían usarlos y las herramientas de tunelización no autorizadas.
6. Importa los indicadores del informe conjunto de Talos e Insikt Group (hashes, infraestructura) en tus sistemas de detección.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas en cada equipo, incluidos programas como WinRAR, integra la consola antivirus/EDR y permite aislar un equipo sospechoso. ARX Sentry lleva los registros y eventos de ordenadores, servidores y firewalls a las páginas del SOC, donde se detectan procesos y conexiones anómalos. Con ARX Trace buscas en varios equipos los ficheros de la carpeta Inicio y los indicadores publicados, y ARX Horizon enriquece los eventos con las fuentes de threat intelligence.

Última actualización: 15 de octubre de 2026