Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks
The Hacker News · 15 oct, 18:00
Qué hacer: Actualiza WinRAR a la versión que corrija CVE-2025-8088 y revisa los accesos a FortiWeb en busca de explotación de CVE-2025-25257.
El grupo de ciberataques Silent Lynx ha lanzado una campaña prolongada contra organismos gubernamentales en la región de la CEI desde junio de 2025, empleando múltiples cadenas de infección que incluyen documentos con macros, herramientas PS2EXE y archivos WinRAR maliciosos que explotan la vulnerabilidad CVE-2025-8088 para desplegar shells inversos personalizados. Los ataques, documentados por Cisco Talos y Recorded Future, se concentran en Asia Central y afectan a nueve países, con énfasis en agencias medioambientales, ministerios de economía e infraestructura energética.
Silent Lynx, un grupo de amenaza vinculado a Kazajistán activo desde al menos 2020, ha ejecutado al menos ocho campañas entre enero de 2025 y mayo de 2026, utilizando correos de phishing dirigidos con documentos señuelo de temática diplomática, comercial, energética y aeronáutica. Las misivas se envían desde cuentas gubernamentales comprometidas. Los ejemplos identificados incluyen una carta diplomática a Ministerio de Asuntos Exteriores de Armenia, un formulario de espacio aéreo de Turkmenistán y una propuesta comercial sobre la refinería Orsk de Rusia.
Las cadenas de infección han evolucionado en cuatro fases distintas: documentos Word habilitados para macros (junio 2025), descargadores PS2EXE (julio 2025), atajos maliciosos dentro de archivos RAR que lanzan PowerShell alojado en GitHub (octubre 2025), y archivos RAR explotando CVE-2025-8088 para depositar PickleShell (abril 2026). Tres directorios de preparación públicamente accesibles contienen herramientas compatibles con Linux y un exploit de prueba de concepto para CVE-2025-25257, una vulnerabilidad SQL injection en Fortinet FortiWeb, sugiriendo una expansión de capacidades operacionales.
Puntos clave
- Cuatro cadenas de infección diferentes usando macros, PS2EXE, PowerShell y WinRAR CVE-2025-8088
- Primera vez que UAT-6275 weaponiza una vulnerabilidad de seguridad en su metodología de distribución de malware
- Shells inversos personalizados: FoalShell, Chvost, Laplas, PickleShell
- Nueve países afectados: Kazajistán, Kirguistán, Tayikistán, Turkmenistán, Uzbekistán, Armenia, Azerbaiyán, Rusia y Bielorrusia
- Enfoque en agencias medioambientales, ministerios de economía e infraestructura energética de la región
Figuras de la fuente
