Silent Lynx: exploit WinRAR e reverse shell contro i governi CSI

Cisco Talos e Insikt Group di Recorded Future hanno pubblicato il 15 ottobre un rapporto congiunto su Silent Lynx, un gruppo di spionaggio informatico che i ricercatori collegano, con fiducia media, al Kazakistan. Il gruppo colpisce ministeri, missioni diplomatiche ed enti pubblici dei paesi della Comunità degli Stati Indipendenti (CSI) e, ad aprile 2026, ha usato per la prima volta un exploit: la vulnerabilità di WinRAR CVE-2025-8088, per mettere il malware nella cartella di avvio di Windows. La notizia è stata ripresa da The Record, Security Affairs e The Hacker News.

Cosa è successo

Talos segue il gruppo come UAT-6275, Insikt Group come TAG-193. Secondo Security Affairs l’attività si sovrappone a quella già descritta con i nomi YoroTrooper, ShadowSilk e Hydra Saiga. Le fonti divergono sulla durata: The Record parla di almeno otto campagne da gennaio 2025, mentre Security Affairs, citando il rapporto, scrive che il gruppo è attivo almeno dal 2024.

Secondo The Record i bersagli, reali o di interesse, sono enti governativi di nove paesi, tra cui Russia, Bielorussia, Armenia, Uzbekistan e Tagikistan, con un’attenzione particolare a esteri, sviluppo economico, agricoltura, ambiente, energia e risorse idriche. Le due fonti citano alcuni casi:

• un ente governativo tagiko, a marzo 2026, poco dopo la ratifica da parte del parlamento kazako di un trattato di alleanza con il Tagikistan;
• un ente governativo bielorusso, ad aprile, circa una settimana prima di un incontro bilaterale ad Astana;
• un’agenzia armena per l’ambiente e l’iniziativa uzbeka Smart Forestry (The Record);
• la raffineria di Orsk, in Russia, e l’amministrazione di Nizhny Novgorod (Security Affairs).

I ricercatori precisano che le coincidenze con gli eventi diplomatici non dimostrano quali informazioni cercasse il gruppo, né se le abbia ottenute.

Dettagli tecnici

• Accesso iniziale: email di spear phishing con allegati che imitano corrispondenza diplomatica, moduli aeronautici e proposte commerciali, spesso inviate da caselle governative già compromesse (in Tagikistan e Kirghizistan, secondo Security Affairs).
• CVE-2025-8088 (WinRAR): una vulnerabilità di path traversal che, aprendo un archivio preparato, scrive file fuori dalla cartella di estrazione. Ad aprile 2026, in un’operazione che probabilmente mirava al ministero degli Esteri armeno, il gruppo l’ha usata per mettere il malware nella cartella Esecuzione automatica (Startup) di Windows, che parte al successivo accesso dell’utente. Non servono macro. È il primo exploit osservato nell’arsenale del gruppo.
• Strumenti: reverse shell in PowerShell, shell proprie scritte in C++, C# e Go (il rapporto cita Chvost e PickleShell), strumenti di tunneling diffusi.
• Infrastruttura: script e file ospitati su GitHub, su Telegram e su server legittimi compromessi, per confondersi con il traffico normale.
• Esempio di esca: un campione compilato ad agosto 2025 usava un PDF in russo su una presunta proposta di collaborazione tra la società turkmena Turkmennebit e la raffineria di Orsk, creato un’ora dopo il payload.
• Nuovi interessi: sul server di comando e controllo c’era un proof of concept pubblico per un bypass di autenticazione di FortiWeb (le fonti non indicano la CVE) e ci sono segni di interesse per i sistemi Linux.

MITRE ATT&CK (nostra mappatura, sulle attività descritte): T1566.001 (Spearphishing Attachment), T1586.002 (Compromise Accounts: Email Accounts), T1203 (Exploitation for Client Execution), T1547.001 (Registry Run Keys / Startup Folder), T1059.001 (PowerShell), T1102 (Web Service), T1572 (Protocol Tunneling).

Come sono arrivati al Kazakistan

Secondo Security Affairs il gruppo si è tradito da solo, lasciando directory aperte su server pubblici con strumenti, payload e la cronologia dei comandi di una shell: whoami digitato con il layout russo attivo è diventato «црщфьш». Gli altri indizi riportati:

• i 77 commit su GitHub cadono per il 95% nell’orario di lavoro di Astana, contro il 51% con l’ora di Mosca;
• gli accessi di amministrazione arrivavano da indirizzi ProtonVPN localizzati in Kazakistan, solo nei giorni feriali tra le 7 e mezzogiorno;
• due campioni sono stati caricati su VirusTotal dal Kazakistan 86 secondi e circa quattro minuti dopo la compilazione, un tipico test di rilevamento;
• materiale in lingua russa nel malware (The Record).

Impatto per le aziende europee e italiane

Le fonti non citano vittime nell’Unione europea. Il rischio riguarda soprattutto chi ha rapporti con enti pubblici e aziende energetiche dell’Asia centrale: le email arrivano da indirizzi istituzionali autentici e compromessi, quindi superano i controlli sul mittente. Il vettore tecnico, però, è generale: WinRAR è installato su moltissime postazioni aziendali, spesso senza aggiornamenti automatici. Per i soggetti NIS2 dei settori energia e pubblica amministrazione, una versione vulnerabile non aggiornata è una lacuna nella gestione delle vulnerabilità.

Cosa fare subito

1. Aggiorna WinRAR su tutte le postazioni alla versione più recente (la correzione di CVE-2025-8088 è disponibile dalla 7.13) e fai un inventario delle versioni installate, comprese le copie portatili.
2. Sorveglia la cartella Esecuzione automatica: segnala ogni file nuovo in %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup e nella cartella comune, soprattutto se scritto da WinRAR o da un processo di estrazione.
3. Controlla PowerShell: attiva il logging dei blocchi di script e cerca connessioni in uscita avviate da powershell.exe verso indirizzi poco noti.
4. Filtra gli allegati compressi da mittenti esterni, anche istituzionali, e mandali in sandbox.
5. Osserva il traffico verso GitHub e Telegram da macchine che non dovrebbero usarli e gli strumenti di tunneling non autorizzati.
6. Importa gli indicatori del rapporto congiunto di Talos e Insikt Group (hash, infrastruttura) nei sistemi di rilevamento.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte su ogni macchina, compresi i programmi come WinRAR, integra la console antivirus/EDR e permette di isolare una postazione sospetta. ARX Sentry porta log ed eventi di computer, server e firewall nelle pagine del SOC, dove si notano processi e connessioni anomali. Con ARX Trace si cercano su più macchine i file nella cartella di avvio e gli indicatori pubblicati, e ARX Horizon arricchisce gli eventi con le fonti di threat intelligence.

Ultimo aggiornamento: 15 ottobre 2026