Группа Silent Lynx, которую Cisco Talos отслеживает как UAT-6275, применяла уязвимость WinRAR CVE-2025-8088 для доставки вредоносного ПО в атаках на государственные организации стран СНГ. По данным Talos и Recorded Future Insikt Group, активность фиксировалась с июня 2025 года по август 2026 года и включала четыре цепочки заражения.
Атакующие использовали документы с макросами, загрузчики на базе PS2EXE, PowerShell-скрипты с GitHub и специально подготовленные RAR-архивы. Конечной нагрузкой были настраиваемые обратные командные оболочки FoalShell, Chvost, Laplas и PickleShell, предоставляющие интерактивный удалённый доступ к скомпрометированным системам.
Кампании в СНГ и российская тематика
По оценке Эшли Шен, UAT-6275 фокусируется на Центральной Азии и более широком пространстве СНГ. В проанализированных кампаниях жертвы и тематика приманок затрагивали девять стран: Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армению, Азербайджан, Россию и Беларусь.
С января 2025 года по май 2026 года в регионе выявили не менее восьми фишинговых кампаний. Письма отправлялись со скомпрометированных учётных записей государственных организаций и содержали документы, стилизованные под официальную переписку. Темы приманок касались дипломатических отношений, международной торговли, энергетики и авиации.
Recorded Future среди таких файлов отметила дипломатическое письмо для Министерства иностранных дел Армении, заявку на использование воздушного пространства Туркменистана и коммерческое предложение, связанное с Орским нефтеперерабатывающим заводом в России. Российская тематика присутствовала в приманках, однако принадлежность конкретных российских организаций к числу целей или жертв не установлена.
Четыре цепочки доставки
Исследователи описали четыре эволюционировавших варианта заражения.
- В июне 2025 года применялись Word-документы с включёнными макросами. Они загружали и запускали бинарный файл второго этапа.
- В июле 2025 года злоумышленники перешли к загрузчикам, собранным с помощью PS2EXE — инструмента упаковки PowerShell-скриптов в исполняемые файлы Windows. Загрузчики получали полезные нагрузки с обратной оболочкой и создавали запланированные задачи для закрепления в системе.
- В октябре 2025 года использовался вредоносный ярлык LNK, вложенный в RAR-архив. Ярлык запускал PowerShell, который извлекал и выполнял размещённый на GitHub скрипт для удалённого доступа. В более поздних вариантах дополнительно загружался PickleShell: его помещали в папку «Автозагрузка» Windows для запуска при каждом входе пользователя в систему.
- В апреле 2026 года UAT-6275 применила RAR-архив, эксплуатировавший CVE-2025-8088 в WinRAR. Эта цепочка также размещала PickleShell в папке «Автозагрузка» Windows.
Апрельский вариант стал первым известным случаем, когда UAT-6275 использовала уязвимость безопасности именно как механизм доставки вредоносного ПО.
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Атрибуция и связи между кластерами
О Silent Lynx публично сообщили в начале 2025 года исследователи Seqrite Labs. Тогда они описали атаки на посольства, юристов, банки, поддерживаемые государством, и аналитические центры в Кыргызстане и Туркменистане.
Группу оценивают как связанную с Казахстаном; её активность прослеживается как минимум с 2020 года. Исследователи отмечают общие черты Silent Lynx с кластерами YoroTrooper, также известным как Comrade Saiga, ShadowSilk и SturgeonPhisher, а также с ShadowSilk, Cavalry Werewolf и Tomiris.
Предполагается, что UAT-6275 и YoroTrooper могут входить в один более широкий кластер активности. Прямых совпадений по индикаторам компрометации или инструментарию между ними не обнаружено, поэтому эта связь остаётся оценкой, а не установленным фактом.
Отдельно VMRay ранее сообщала о группе Hydra Saiga: с декабря 2024 года она, по данным компании, скомпрометировала не менее 34 организаций в восьми странах, а её разведывательная активность охватила ещё более 200 целей по всему миру. Comrade Saiga и Hydra Saiga относятся к одному и тому же злоумышленнику. Обозначение Hydra отражает, что этот актор уделял особое внимание инфраструктуре, связанной с водными ресурсами Центральной Азии. В его операциях применялись собственные импланты на Rust, Go и Python, а также техники Living-off-the-Land.
Дополнительные возможности группы
В трёх общедоступных промежуточных каталогах, связанных с атакующим, исследователи обнаружили инструменты для Linux и общедоступный proof-of-concept для CVE-2025-25257 — SQL-инъекции в Fortinet FortiWeb. Наличие этих материалов указывает на возможное расширение операционных возможностей группы, но само по себе не подтверждает их применение против конкретных организаций.
Talos считает, что непрерывность активности UAT-6275 и появление новых способов доставки позволяют ожидать дальнейших попыток доступа к государственным организациям Центральной Азии и СНГ. Интерес группы к природоохранным ведомствам, министерствам экономики и энергетической инфраструктуре исследователи связывают с разведывательной ценностью региональной дипломатии и управления ресурсами. Это прогноз исследователей, а не сообщение о новых подтверждённых атаках.
Что проверить российским организациям
- Организациям из госсектора, энергетики и связанных отраслей стоит проверить актуальность используемых версий WinRAR с учётом CVE-2025-8088 и отдельно контролировать обработку RAR-архивов, поступающих по почте. В описанных цепочках первоначальный доступ строился на правдоподобных документах и письмах со взломанных государственных учётных записей, поэтому доверенный адрес отправителя не должен быть единственным критерием безопасности.
- Создание запланированных задач, появление исполняемых файлов, подготовленных через PS2EXE, запуск PowerShell из ярлыков и архивов, обращения к скриптам на GitHub, а также новые или изменённые элементы в папке «Автозагрузка» следует рассматривать как поводы для контекстной проверки, а не самостоятельные признаки кампании. Их имеет смысл сопоставлять с получением почтового вложения или RAR-архива, цепочкой процессов, происхождением файла, конкретным внешним ресурсом и иными аномалиями. PS2EXE, GitHub, PowerShell, запланированные задачи и папка «Автозагрузка» могут легитимно использоваться администраторами и ПО.