Dreigingsgroep Silent Lynx wordt gelinkt aan een nieuwe reeks aanvallen op overheidsinstellingen in het gebied van het Gemenebest van Onafhankelijke Staten (GOS), de voormalige Sovjet-republieken. Cisco Talos en Recorded Future’s Insikt Group volgen de activiteit onder respectievelijk de namen UAT-6275 en TAG-193. De aanvallen liepen van juni 2025 tot augustus 2026 en bestaan uit vier verschillende infectieroutes, met macro’s in Office-documenten, PS2EXE-downloaders, GitHub-gehoste PowerShell-scripts en geprepareerde WinRAR-archieven die misbruik maken van CVE-2025-8088.
De aanvallen plaatsen op maat gemaakte reverse shells als FoalShell, Chvost, Laplas en PickleShell, die interactieve externe toegang tot besmette systemen geven. “De targeting van UAT-6275 concentreert zich op Centraal-Azië en de bredere GOS-regio,” zegt beveiligingsonderzoeker Ashley Shen. “In de onderzochte campagnes komen slachtoffers en lokthema’s uit negen landen voor: Kazachstan, Kirgizië, Tadzjikistan, Turkmenistan, Oezbekistan, Armenië, Azerbeidzjan, Rusland en Wit-Rusland.”
Herkomst en overlap met andere clusters
Silent Lynx werd voor het eerst publiek gedocumenteerd door Seqrite Labs, begin 2025, naar aanleiding van aanvallen op ambassades, advocatenkantoren, door de overheid gesteunde banken en denktanks in Kirgizië en Turkmenistan. De groep wordt gezien als een vermoedelijk Kazachse dreigingsactor, actief sinds minstens 2020, met overlap met andere clusters die bekendstaan als YoroTrooper (ook Comrade Saiga, ShadowSilk en SturgeonPhisher genoemd), Cavalry Werewolf en Tomiris. Onderzoekers vermoeden dat UAT-6275 en YoroTrooper deel uitmaken van dezelfde bredere groep activiteit, al is er geen directe overlap in tools of indicatoren vastgesteld.
Eerder dit jaar meldde VMRay dat een cluster dat het bedrijf Hydra Saiga noemt, sinds december 2024 minstens 34 organisaties in acht landen compromitteerde, met verkenningsactiviteit bij meer dan 200 aanvullende doelwitten wereldwijd. Comrade Saiga en Hydra Saiga blijken dezelfde dreigingsactor te zijn, met een opvallende focus op infrastructuur rond waterbeheer in Centraal-Azië, aangevallen met eigen implantaten in Rust, Go en Python.
Vier infectieketens
De aanvallen beginnen met spearphishingmails over diplomatieke betrekkingen, internationale handel, energie en luchtvaart, verstuurd vanaf gehackte overheidsaccounts om geloofwaardig over te komen. Tussen januari 2025 en mei 2026 identificeerden de onderzoekers minstens acht afzonderlijke campagnes. “Onder de geïdentificeerde lokmiddelen zaten een diplomatieke brief gericht aan het Armeense ministerie van Buitenlandse Zaken, een aanvraagformulier voor Turkmeens luchtruim en een zakelijk voorstel over de Russische olieraffinaderij Orsk,” aldus Recorded Future.
- Juni 2025: macro’s in Word-documenten downloaden en starten een tweede malwarebestand.
- Juli 2025: PS2EXE-downloaders, die PowerShell-scripts verpakken als Windows-programma’s, halen reverse-shell-payloads op en zetten geplande taken op voor persistentie.
- Oktober 2025: een kwaadaardige snelkoppeling (LNK) in een RAR-archief start PowerShell, dat een op GitHub gehost script ophaalt voor externe shell-toegang; latere versies downloaden ook PickleShell en plaatsen dat in de opstartmap van Windows.
- April 2026: een RAR-archief dat de WinRAR-kwetsbaarheid CVE-2025-8088 misbruikt, zet PickleShell rechtstreeks in dezelfde opstartmap.
Die laatste infectieketen is de eerste keer dat UAT-6275 een kwetsbaarheid bewapent als onderdeel van de malwareverspreiding. Onderzoekers vonden bovendien drie publiek toegankelijke staging-mappen van de groep met Linux-compatibele tools en een openbaar beschikbare proof-of-concept-exploit voor CVE-2025-25257, een sql-injectiekwetsbaarheid in Fortinet FortiWeb, wat kan wijzen op een uitbreiding van de operationele mogelijkheden van de groep.
“De aanhoudende activiteit van UAT-6275 en de adoptie van nieuwe afleveringstechnieken suggereren dat de groep zal blijven proberen toegang te krijgen tot overheidsorganisaties in Centraal-Azië en het GOS-gebied,” aldus Talos. “De interesse in milieu-instanties, economische ministeries en energie-infrastructuur weerspiegelt de inlichtingenwaarde van regionale diplomatie en grondstoffenbeheer.”
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Silent Lynx richt zich specifiek op overheden in het GOS-gebied, maar de kwetsbaarheid die de groep daarvoor inzet niet. CVE-2025-8088 zit in WinRAR, een van de meest gebruikte archiveringsprogramma's ter wereld, ook op Nederlandse pc's. Werk WinRAR bij naar de nieuwste versie, behandel een snelkoppelingsbestand in een ogenschijnlijk gewoon RAR-archief standaard als verdacht en schakel macro's in Office-documenten van onbekende afzenders standaard uit.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.