Исследователи раскрыли масштабную шпионскую кампанию группировки Silent Lynx, направленную против государственных организаций России и других стран СНГ.
Злоумышленники использовали фишинговые письма, вредоносные документы и уязвимость популярного архиватора WinRAR для получения удалённого доступа к компьютерам.
Как сообщают специалисты, активность группировки отслеживалась с июня 2025 по август 2026 года. География атак и вредоносных приманок охватывает девять государств, включая Россию, Белоруссию, Казахстан, Узбекистан, Киргизию, Таджикистан, Туркмению, Армению и Азербайджан.
Особое внимание хакеры уделяли дипломатическим ведомствам, министерствам экономики, природоохранным организациям и энергетической инфраструктуре. Для проникновения использовались письма, замаскированные под официальную переписку о международной торговле, авиации и межгосударственном сотрудничестве. Часть сообщений отправлялась со скомпрометированных государственных почтовых аккаунтов.
Исследователи выявили четыре схемы заражения. Первоначально злоумышленники применяли документы Word с вредоносными макросами, затем перешли к загрузчикам PowerShell и скриптам, размещённым на GitHub.
В апреле 2026 года группировка начала эксплуатировать уязвимость CVE-2025-8088 в WinRAR для Windows. Специально подготовленный архив позволял записать вредоносный файл в папку автозагрузки системы. После следующего входа пользователя запускалась программа PickleShell, предоставлявшая атакующим удалённый доступ.
В арсенале Silent Lynx также обнаружены вредоносные инструменты FoalShell, Chvost и Laplas. Они позволяют выполнять команды на заражённых устройствах и поддерживать доступ к скомпрометированным системам.
Аналитики обнаружили три открытых каталога инфраструктуры группировки и репозиторий GitHub с вредоносными компонентами. Среди найденных инструментов присутствовали программы для Linux и эксплойт для уязвимости Fortinet FortiWeb.
Cisco Talos с умеренной уверенностью связывает группировку с Казахстаном. Основанием стали особенности используемой инфраструктуры, языковые признаки и время активности операторов. При этом принадлежность злоумышленников к государственным структурам не установлена.
Уязвимость WinRAR была устранена в версии 7.13 ещё в июле 2025 года. Специалисты рекомендуют обновить архиватор, контролировать запуск подозрительных PowerShell-скриптов и проверять изменения в папках автозагрузки Windows.
Злоумышленники использовали фишинговые письма, вредоносные документы и уязвимость популярного архиватора WinRAR для получения удалённого доступа к компьютерам.
Как сообщают специалисты, активность группировки отслеживалась с июня 2025 по август 2026 года. География атак и вредоносных приманок охватывает девять государств, включая Россию, Белоруссию, Казахстан, Узбекистан, Киргизию, Таджикистан, Туркмению, Армению и Азербайджан.
Особое внимание хакеры уделяли дипломатическим ведомствам, министерствам экономики, природоохранным организациям и энергетической инфраструктуре. Для проникновения использовались письма, замаскированные под официальную переписку о международной торговле, авиации и межгосударственном сотрудничестве. Часть сообщений отправлялась со скомпрометированных государственных почтовых аккаунтов.
Исследователи выявили четыре схемы заражения. Первоначально злоумышленники применяли документы Word с вредоносными макросами, затем перешли к загрузчикам PowerShell и скриптам, размещённым на GitHub.
В апреле 2026 года группировка начала эксплуатировать уязвимость CVE-2025-8088 в WinRAR для Windows. Специально подготовленный архив позволял записать вредоносный файл в папку автозагрузки системы. После следующего входа пользователя запускалась программа PickleShell, предоставлявшая атакующим удалённый доступ.
В арсенале Silent Lynx также обнаружены вредоносные инструменты FoalShell, Chvost и Laplas. Они позволяют выполнять команды на заражённых устройствах и поддерживать доступ к скомпрометированным системам.
Аналитики обнаружили три открытых каталога инфраструктуры группировки и репозиторий GitHub с вредоносными компонентами. Среди найденных инструментов присутствовали программы для Linux и эксплойт для уязвимости Fortinet FortiWeb.
Cisco Talos с умеренной уверенностью связывает группировку с Казахстаном. Основанием стали особенности используемой инфраструктуры, языковые признаки и время активности операторов. При этом принадлежность злоумышленников к государственным структурам не установлена.
Уязвимость WinRAR была устранена в версии 7.13 ещё в июле 2025 года. Специалисты рекомендуют обновить архиватор, контролировать запуск подозрительных PowerShell-скриптов и проверять изменения в папках автозагрузки Windows.
