Silent Lynx explora falha no WinRAR em ataques contra governos da Ásia Central

O grupo hacker Silent Lynx foi associado a uma nova série de ataques cibernéticos contra organizações governamentais da Comunidade dos Estados Independentes (CEI), principalmente na Ásia Central. As operações, identificadas entre junho de 2025 e agosto de 2026, utilizam diferentes métodos de infecção, incluindo a exploração da vulnerabilidade CVE-2025-8088 no WinRAR, para instalar ferramentas de acesso remoto nos sistemas comprometidos.

Segundo investigações da Cisco Talos e do Recorded Future Insikt Group, a campanha é rastreada como UAT-6275 e TAG-193. Os ataques empregam documentos maliciosos com macros, downloaders criados com PS2EXE, scripts PowerShell hospedados no GitHub e arquivos RAR especialmente preparados.

O objetivo é instalar ferramentas de shell reverso desenvolvidas pelo grupo, como FoalShell, Chvost, Laplas e PickleShell, que permitem aos invasores executar comandos e interagir remotamente com os dispositivos infectados.

De acordo com a pesquisadora Ashley Shen, as atividades estão concentradas em nove países: Cazaquistão, Quirguistão, Tadjiquistão, Turcomenistão, Uzbequistão, Armênia, Azerbaijão, Rússia e Belarus.

Silent Lynx atua desde pelo menos 2020

O Silent Lynx foi documentado publicamente pela primeira vez pela Seqrite Labs no início de 2025, após ataques direcionados a embaixadas, escritórios de advocacia, bancos apoiados por governos e centros de pesquisa no Quirguistão e no Turcomenistão.

Os pesquisadores avaliam que o grupo possui vínculos com o Cazaquistão e atua desde pelo menos 2020. Suas operações apresentam semelhanças com atividades atribuídas a outros grupos, incluindo YoroTrooper, também conhecido como Comrade Saiga, além de ShadowSilk, Cavalry Werewolf e Tomiris.

Existe a suspeita de que UAT-6275 e YoroTrooper integrem um mesmo conjunto mais amplo de operações. Entretanto, até o momento, não foram identificados indicadores técnicos ou ferramentas compartilhadas que confirmem diretamente essa relação.

Outra investigação, divulgada pela VMRay, identificou atividades do grupo Hydra Saiga, também conhecido como Comrade Saiga, que comprometeu pelo menos 34 organizações em oito países desde dezembro de 2024. As operações de reconhecimento também alcançaram mais de 200 alvos adicionais em diferentes regiões do mundo.

Esse grupo tem demonstrado interesse particular em infraestruturas relacionadas a recursos hídricos na Ásia Central, utilizando ferramentas desenvolvidas em Rust, Go e Python, além de técnicas Living-off-the-Land, que aproveitam recursos legítimos dos sistemas para executar atividades maliciosas.

Campanhas utilizam documentos diplomáticos e contas governamentais

Os ataques associados ao Silent Lynx começam principalmente com campanhas direcionadas de spear-phishing, utilizando documentos relacionados a diplomacia, comércio internacional, energia e aviação.

Entre janeiro de 2025 e maio de 2026, foram identificadas pelo menos oito campanhas na região.

Os e-mails fraudulentos são enviados a partir de contas governamentais comprometidas e apresentam documentos com aparência oficial para aumentar a credibilidade das mensagens.

Entre os materiais utilizados estão uma carta diplomática direcionada ao Ministério das Relações Exteriores da Armênia, um formulário de solicitação relacionado ao espaço aéreo do Turcomenistão e uma proposta comercial envolvendo a refinaria de petróleo de Orsk, na Rússia.

A investigação também identificou três diretórios de preparação de ataques acessíveis publicamente, associados ao grupo. Eles armazenavam ferramentas compatíveis com Linux e um código de prova de conceito para explorar a CVE-2025-25257, vulnerabilidade de injeção SQL no Fortinet FortiWeb.

A presença desses recursos sugere uma possível ampliação das capacidades operacionais dos invasores, embora não confirme sua utilização em ataques.

Quatro métodos de infecção identificados

A análise da Cisco Talos identificou quatro cadeias de ataque utilizadas pelo Silent Lynx ao longo da campanha.

Em junho de 2025, os invasores distribuíram documentos do Microsoft Word contendo macros maliciosas, responsáveis por baixar e executar um segundo componente no sistema comprometido.

Em julho, passaram a utilizar downloaders desenvolvidos com PS2EXE, ferramenta que transforma scripts PowerShell em executáveis Windows. Esses arquivos baixavam os payloads de shell reverso e criavam tarefas agendadas para garantir a persistência.

Em outubro de 2025, o grupo começou a distribuir arquivos RAR contendo atalhos maliciosos do Windows (LNK). Quando executados, os atalhos iniciavam comandos PowerShell para baixar scripts hospedados no GitHub e estabelecer acesso remoto.

Versões posteriores dessa técnica também passaram a instalar o PickleShell na pasta de inicialização do Windows, permitindo sua execução automática sempre que o usuário entrasse no sistema.

Em abril de 2026, os invasores incorporaram a exploração da vulnerabilidade CVE-2025-8088 no WinRAR. Arquivos RAR especialmente preparados eram utilizados para instalar o PickleShell diretamente na pasta de inicialização do Windows.

Segundo os pesquisadores, essa foi a primeira vez que o UAT-6275 utilizou uma vulnerabilidade de segurança como mecanismo de distribuição de malware, representando uma evolução em suas técnicas de ataque.

Operações indicam interesse em informações estratégicas

A continuidade das campanhas e a diversificação dos métodos de infecção indicam que o Silent Lynx mantém interesse em organizações governamentais da Ásia Central e de outros países da CEI.

Entre os alvos de maior interesse estão agências ambientais, ministérios da economia e infraestruturas relacionadas ao setor energético.

Para a Cisco Talos, a seleção dessas organizações está relacionada ao valor estratégico de informações sobre diplomacia regional, desenvolvimento econômico e gestão de recursos naturais.

A adoção de ferramentas personalizadas, mecanismos de persistência e exploração de vulnerabilidades conhecidas demonstra a capacidade do grupo de adaptar suas operações para manter acesso a ambientes governamentais e coletar informações de interesse.