Silent Lynx: exploit WinRAR împotriva guvernelor din CSI

Pe 15 octombrie, Cisco Talos și Insikt Group de la Recorded Future au publicat un raport comun despre Silent Lynx, un grup de spionaj cibernetic pe care cercetătorii îl leagă, cu încredere medie, de Kazahstan. Grupul atacă ministere, misiuni diplomatice și instituții publice din Comunitatea Statelor Independente (CSI) și, în aprilie 2026, a folosit pentru prima dată un exploit: vulnerabilitatea WinRAR CVE-2025-8088, pentru a plasa malware-ul în folderul de pornire al Windows. Știrea a fost preluată de The Record, Security Affairs și The Hacker News.

Ce s-a întâmplat

Talos urmărește grupul sub numele UAT-6275, iar Insikt Group sub numele TAG-193. Potrivit Security Affairs, activitatea se suprapune cu cea descrisă deja sub numele YoroTrooper, ShadowSilk și Hydra Saiga. Sursele diferă în privința duratei: The Record vorbește despre cel puțin opt campanii din ianuarie 2025, în timp ce Security Affairs, citând raportul, scrie că grupul este activ cel puțin din 2024.

Potrivit The Record, țintele, reale sau de interes, sunt instituții guvernamentale din nouă țări, printre care Rusia, Belarus, Armenia, Uzbekistan și Tadjikistan, cu o atenție deosebită pentru afaceri externe, dezvoltare economică, agricultură, mediu, energie și resurse de apă. Cele două surse citează mai multe cazuri:

• o instituție guvernamentală tadjikă, în martie 2026, la scurt timp după ce parlamentul kazah a ratificat un tratat de alianță cu Tadjikistanul;
• o instituție guvernamentală belarusă, în aprilie, cu aproximativ o săptămână înaintea unei întâlniri bilaterale la Astana;
• o agenție armeană pentru mediu și inițiativa uzbekă Smart Forestry (The Record);
• rafinăria din Orsk, în Rusia, și administrația din Nijni Novgorod (Security Affairs).

Cercetătorii precizează că suprapunerea cu evenimentele diplomatice nu dovedește ce informații căuta grupul și nici dacă le-a obținut.

Detalii tehnice

• Acces inițial: emailuri de spear phishing cu atașamente care imită corespondență diplomatică, formulare aeronautice și propuneri comerciale, trimise adesea din căsuțe guvernamentale deja compromise (în Tadjikistan și Kârgâzstan, potrivit Security Affairs).
• CVE-2025-8088 (WinRAR): o vulnerabilitate de tip path traversal care, la deschiderea unei arhive pregătite, scrie fișiere în afara folderului de extragere. În aprilie 2026, într-o operațiune care viza probabil Ministerul Afacerilor Externe al Armeniei, grupul a folosit-o pentru a plasa malware-ul în folderul Startup al Windows, care rulează la următoarea autentificare a utilizatorului. Nu sunt necesare macrocomenzi. Este primul exploit observat în arsenalul grupului.
• Instrumente: reverse shell-uri în PowerShell, shell-uri proprii scrise în C++, C# și Go (raportul menționează Chvost și PickleShell) și instrumente de tunelare răspândite.
• Infrastructură: scripturi și fișiere găzduite pe GitHub, pe Telegram și pe servere legitime compromise, pentru a se confunda cu traficul normal.
• Exemplu de momeală: o mostră compilată în august 2025 folosea un PDF în limba rusă despre o presupusă propunere de colaborare între compania turkmenă Turkmennebit și rafinăria din Orsk, creat la o oră după payload.
• Interese noi: pe serverul de comandă și control se afla un proof of concept public pentru un bypass de autentificare FortiWeb (sursele nu indică CVE-ul) și există semne de interes pentru sistemele Linux.

MITRE ATT&CK (corespondența noastră, pe baza activităților descrise): T1566.001 (Spearphishing Attachment), T1586.002 (Compromise Accounts: Email Accounts), T1203 (Exploitation for Client Execution), T1547.001 (Registry Run Keys / Startup Folder), T1059.001 (PowerShell), T1102 (Web Service), T1572 (Protocol Tunneling).

Cum s-a ajuns la Kazahstan

Potrivit Security Affairs, grupul s-a dat de gol singur, lăsând directoare deschise pe servere publice, cu instrumente, payload-uri și istoricul comenzilor dintr-un shell: whoami tastat cu aranjamentul rusesc activ a devenit „црщфьш”. Alte indicii raportate:

• 95% dintre cele 77 de commit-uri de pe GitHub se încadrează în programul de lucru din Astana, față de 51% după ora Moscovei;
• conexiunile de administrare veneau de la adrese ProtonVPN geolocalizate în Kazahstan, doar în zilele lucrătoare, între ora 7 și prânz;
• două mostre au fost încărcate pe VirusTotal din Kazahstan la 86 de secunde și la aproximativ patru minute după compilare, un test tipic de detecție;
• material în limba rusă în malware (The Record).

Impactul pentru companiile europene și italiene

Sursele nu menționează victime în Uniunea Europeană. Riscul îi privește mai ales pe cei care au relații cu instituții publice și companii energetice din Asia Centrală: emailurile vin de la adrese instituționale autentice, dar compromise, deci trec de verificările expeditorului. Vectorul tehnic este însă general: WinRAR este instalat pe foarte multe stații de lucru din companii, adesea fără actualizări automate. Pentru entitățile NIS2 din sectoarele energiei și administrației publice, o versiune vulnerabilă neactualizată este o lacună în gestionarea vulnerabilităților.

Ce să faci imediat

1. Actualizează WinRAR pe toate stațiile la cea mai recentă versiune (corecția pentru CVE-2025-8088 este disponibilă începând cu 7.13) și fă un inventar al versiunilor instalate, inclusiv al copiilor portabile.
2. Supraveghează folderul Startup: semnalează orice fișier nou în %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup și în folderul comun, mai ales dacă este scris de WinRAR sau de un proces de extragere.
3. Verifică PowerShell: activează jurnalizarea blocurilor de script și caută conexiuni de ieșire pornite de powershell.exe către adrese puțin cunoscute.
4. Filtrează atașamentele arhivate de la expeditori externi, inclusiv instituționali, și analizează-le în sandbox.
5. Urmărește traficul către GitHub și Telegram de pe mașini care nu ar trebui să le folosească, precum și instrumentele de tunelare neautorizate.
6. Importă indicatorii din raportul comun Talos și Insikt Group (hash-uri, infrastructură) în sistemele de detecție.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe fiecare mașină, inclusiv în programe precum WinRAR, integrează consola antivirus/EDR și îți permite să izolezi o stație suspectă. ARX Sentry aduce jurnalele și evenimentele de pe calculatoare, servere și firewall-uri în paginile SOC, unde procesele și conexiunile anormale ies în evidență. Cu ARX Trace cauți pe mai multe mașini fișierele din folderul Startup și indicatorii publicați, iar ARX Horizon îmbogățește evenimentele cu sursele de threat intelligence.

Ultima actualizare: 15 octombrie 2026