Wprowadzenie do problemu / definicja
Silent Lynx, identyfikowany także jako UAT-6275 oraz TAG-193, to grupa cyberszpiegowska prowadząca ukierunkowane operacje przeciwko instytucjom rządowym w państwach Wspólnoty Niepodległych Państw. Najnowsze ustalenia wskazują, że aktor ten rozszerzył swoje możliwości o wykorzystanie podatności w WinRAR do dostarczania złośliwych ładunków zapewniających zdalny, interaktywny dostęp do przejętych systemów.
W centrum analizy znajduje się luka CVE-2025-8088, która pozwala na zapisanie plików poza docelowym katalogiem rozpakowywania. W praktyce umożliwia to atakującym umieszczenie malware w lokalizacjach istotnych z punktu widzenia persystencji, takich jak folder autostartu Windows.
W skrócie
- Silent Lynx prowadził kampanie wymierzone w administrację i podmioty publiczne w Azji Centralnej oraz krajach WNP.
- Atakujący stosowali spear phishing, dokumenty Office z makrami, loadery PS2EXE, skrypty PowerShell oraz spreparowane archiwa RAR.
- W nowszym wariancie wykorzystano lukę CVE-2025-8088 w WinRAR do umieszczenia plików malware w folderze Startup.
- Końcowym etapem infekcji było wdrożenie reverse shelli, takich jak FoalShell, Chvost, Laplas i PickleShell.
- Kampania pokazuje rosnące znaczenie łączenia socjotechniki, legalnych narzędzi systemowych i podatności w popularnym oprogramowaniu.
Kontekst / historia
Silent Lynx był wcześniej wiązany z operacjami szpiegowskimi ukierunkowanymi na ambasady, kancelarie prawne, podmioty administracyjne oraz organizacje analityczne. Według dostępnych analiz aktywność grupy może sięgać co najmniej 2020 roku, a jej powiązania operacyjne wskazują na obszar Kazachstanu.
W kampaniach obserwowanych od czerwca 2025 do sierpnia 2026 roku zidentyfikowano co najmniej osiem operacji phishingowych. Przynęty były dostosowane do profilu ofiar i dotyczyły relacji dyplomatycznych, handlu, lotnictwa, energetyki oraz spraw administracyjnych. Szczególnie niebezpiecznym elementem była dystrybucja wiadomości z przejętych kont rządowych, co zwiększało wiarygodność korespondencji i utrudniało szybkie wykrycie zagrożenia.
Analiza techniczna
Badacze opisali kilka łańcuchów infekcji stosowanych przez Silent Lynx. We wcześniejszych wariantach wykorzystywano dokumenty Word z makrami, których zadaniem było pobranie kolejnego etapu malware. Następnie pojawiły się downloadery przygotowane przy użyciu PS2EXE, odpowiedzialne za pobranie reverse shella i utworzenie mechanizmów persystencji, między innymi poprzez zadania harmonogramu.
Kolejna metoda opierała się na archiwach RAR zawierających złośliwe skróty LNK. Po ich uruchomieniu wykonywany był PowerShell pobierający zdalny skrypt i otwierający kanał dostępu dla operatora. W dalszych iteracjach ten model rozwinięto o umieszczanie PickleShell w folderze Startup, aby malware uruchamiało się automatycznie przy logowaniu użytkownika.
Najistotniejszym elementem technicznym najnowszej kampanii jest wykorzystanie CVE-2025-8088. To podatność typu directory traversal dotycząca windowsowych wersji WinRAR, RAR i UnRAR. Odpowiednio przygotowane archiwum może wymusić zapis plików poza lokalizacją wybraną przez użytkownika podczas rozpakowywania. Dzięki temu atakujący są w stanie osadzić plik wykonywalny lub skrypt w katalogu autostartu, zapewniając sobie trwałość i ponowny dostęp do systemu po restarcie lub ponownym zalogowaniu ofiary.
Z perspektywy obrony istotne jest to, że grupa nie polega na jednym wektorze dostępu. Operatorzy łączą socjotechnikę, nadużycie legalnych narzędzi systemowych oraz elastyczne łańcuchy dostawy malware. Taki model utrudnia detekcję opartą wyłącznie na sygnaturach i wymaga korelacji danych z poczty, endpointów, PowerShella oraz systemów EDR.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem udanej infekcji jest uzyskanie przez przeciwnika trwałego, interaktywnego dostępu do stacji roboczych i serwerów. Reverse shell pozwala wykonywać polecenia, pobierać kolejne narzędzia, przemieszczać się bocznie po środowisku oraz wykradać dokumenty i dane operacyjne.
Wykorzystanie archiwów RAR, skrótów LNK i legalnych komponentów Windows zwiększa szanse na obejście podstawowych mechanizmów ochronnych. Jeżeli złośliwy plik zostanie zapisany w folderze autostartu, jego uruchomienie może nastąpić bez natychmiastowych objawów kompromitacji, co wydłuża czas wykrycia incydentu i zwiększa skalę szkód.
Ryzyko dotyczy przede wszystkim organizacji rządowych, resortów gospodarczych, jednostek związanych z energetyką, środowiskiem oraz administracją publiczną. Jednocześnie zastosowane techniki mogą zostać łatwo przeniesione do ataków na inne sektory o wysokiej wartości wywiadowczej.
Rekomendacje
Podstawowym działaniem powinno być pilne zaktualizowanie WinRAR i powiązanych komponentów w systemach Windows do wersji zawierających poprawki bezpieczeństwa. Organizacje powinny także sprawdzić, czy w środowisku nie funkcjonują starsze, lokalnie instalowane wersje narzędzi archiwizujących, które pozostają poza centralnym procesem zarządzania oprogramowaniem.
W obszarze poczty i ochrony użytkowników końcowych warto wdrożyć dodatkowe mechanizmy kontroli załączników archiwalnych oraz plików LNK. Zalecane jest również sandboxowanie dokumentów z makrami i archiwów pochodzących spoza organizacji, a także ograniczanie użycia PowerShella w kontekstach, w których nie jest on niezbędny.
- monitorowanie zapisów do folderów Startup i innych lokalizacji persystencji,
- wykrywanie tworzenia nowych zadań harmonogramu,
- analiza uruchomień procesów potomnych przez aplikacje archiwizujące,
- alarmowanie o wykonaniach LNK z katalogów tymczasowych i ścieżek rozpakowanych archiwów,
- śledzenie nietypowych połączeń wychodzących inicjowanych przez procesy użytkownika,
- monitorowanie aktywności PowerShell związanej z pobieraniem kodu lub wykonywaniem poleceń zakodowanych.
Dodatkowo zespoły SOC i threat hunting powinny przeanalizować środowisko pod kątem artefaktów związanych z rodzinami FoalShell, Chvost, Laplas i PickleShell oraz sprawdzić zawartość folderów autostartu użytkowników w poszukiwaniu nieautoryzowanych plików dodanych w ostatnich miesiącach.
Podsumowanie
Kampania Silent Lynx pokazuje, że nawet pozornie prosta podatność w popularnym narzędziu archiwizującym może zostać skutecznie włączona do dojrzałego łańcucha cyberszpiegowskiego. Połączenie spear phishingu, legalnych narzędzi systemowych, publicznej infrastruktury hostującej skrypty oraz luki CVE-2025-8088 zwiększyło skuteczność dostarczania malware i utrzymania dostępu do systemów ofiar.
Dla zespołów bezpieczeństwa oznacza to konieczność równoległego podejścia do zarządzania podatnościami, monitorowania persystencji oraz detekcji zachowań charakterystycznych dla PowerShella i reverse shelli. Organizacje publiczne i podmioty o wysokiej wartości informacyjnej powinny potraktować ten przypadek jako wyraźny sygnał ostrzegawczy.