Silent Lynx 利用 WinRAR 漏洞在 CIS 政府攻击中部署反向 Shell

被称为 Silent Lynx 的威胁行为者被归因于新一轮针对独立国家联合体（CIS）各地政府组织的攻击。

该活动从 2025 年 6 月持续至 2026 年 8 月，涉及四条不同的感染链，利用宏文档、PS2EXE 下载器、GitHub 托管的 PowerShell 以及利用 CVE-2025-8088 的精心制作的 WinRAR 压缩包。

据 Cisco Talos 和 Recorded Future Insikt Group 称，这些攻击最终部署了 FoalShell、Chvost、Laplas 和 PickleShell 等定制反向 Shell，以实现对被入侵主机的交互式远程访问。两家公司分别以 UAT-6275 和 TAG-193 的代号追踪该活动。

"UAT-6275 的攻击目标集中在中亚及更广泛的 CIS 地区，"安全研究员 Ashley Shen 表示，"在审查的活动中，观察到的受害者和诱饵主题横跨九个国家：哈萨克斯坦、吉尔吉斯斯坦、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦、亚美尼亚、阿塞拜疆、俄罗斯和白俄罗斯。"

Silent Lynx 最早由 Seqrite Labs 于 2025 年初公开记录，重点介绍了该威胁行为者针对吉尔吉斯斯坦和土库曼斯坦的大使馆、律师、政府支持的银行和智库的攻击。

据评估，这是一个至少自 2020 年以来活跃的哈萨克斯坦关联威胁行为者，与其他代号 YoroTrooper（又称 Comrade Saiga、ShadowSilk 和 SturgeonPhisher）、ShadowSilk、Cavalry Werewolf 和 Tomiris 的集群存在重叠。

据怀疑，UAT-6275 和 YoroTrooper 属于同一个更广泛的活动集群，尽管两者之间尚未观察到直接的指标或工具集重叠。

今年早些时候，VMRay 披露，其追踪为 Hydra Saiga 的威胁集群自 2024 年 12 月以来入侵了 8 个国家的至少 34 个组织，侦察活动还延伸到全球另外 200 多个目标。

值得注意的是，Comrade Saiga 和 Hydra Saiga 指的是同一个威胁行为者。追踪别名中的"hydra"前缀，是指对手高度专注于入侵与中亚水资源相关的特定基础设施，使用 Rust、Go 和 Python 编写的定制植入物以及 Living-off-the-Land 技术。

该威胁行为者发起的攻击链涉及使用包含外交关系、国际贸易、能源和航空主题诱饵文档的鱼叉式钓鱼邮件。2025 年 1 月至 2026 年 5 月期间，该地区已确认不少于八次活动。

钓鱼邮件从被入侵的政府账户发送，并使用看似官方的文档，为这种社会工程攻击披上一层可信的外衣。"已确认的诱饵包括一封致亚美尼亚外交部的信函、一份土库曼斯坦空域申请表，以及一份关于俄罗斯 Orsk 炼油厂的商业提案，"Recorded Future 表示。

此外，还发现了三个与该威胁行为者相关的公开可访问的中转目录，其中托管了兼容 Linux 的工具以及 CVE-2025-25257（Fortinet FortiWeb 中一个 SQL 注入漏洞）的公开概念验证利用代码，这表明该威胁行为者的作战能力可能正在扩张。

已发现感染序列采用四种不同的路径：

• 2025 年 6 月——使用启用宏的 Word 文档下载并运行第二阶段二进制文件。
• 2025 年 7 月——使用 PS2EXE（一种将 PowerShell 脚本打包为 Windows 可执行文件的工具）构建的下载器，获取反向 Shell 有效载荷并创建计划任务以实现持久化。
• 2025 年 10 月——使用 RAR 压缩包内的恶意快捷方式（LNK）启动 PowerShell，负责检索并执行 GitHub 托管的脚本以提供远程 Shell 访问。后续迭代还会下载 PickleShell 并将其放置在 Windows 启动文件夹中，以便每次用户登录系统时自动启动。
• 2026 年 4 月——使用利用 WinRAR 漏洞（CVE-2025-8088）的 RAR 压缩包，将 PickleShell 投放到 Windows 启动文件夹。

2026 年 4 月的感染链标志着 UAT-6275 首次将安全漏洞武器化，作为其恶意软件投递方法的一部分。

"UAT-6275 的持续活动和新投递技术的采用表明，该组织将继续寻求对中亚和 CIS 地区政府组织的访问，"Talos 表示，"其对环境机构、经济部委和能源基础设施的兴趣，反映了地区外交和资源管理的情报价值。"