O threat actor conhecido como Silent Lynx foi associado a uma nova série de ataques contra órgãos governamentais de países da Comunidade dos Estados Independentes (CEI).
A atividade, observada entre junho de 2025 e agosto de 2026, envolve quatro cadeias de infecção distintas. Elas recorrem a documentos habilitados para macros, downloaders criados com PS2EXE, scripts do PowerShell hospedados no GitHub e arquivos RAR manipulados para explorar a
CVE-2025-8088
.
Os ataques instalam shells reversos personalizados, como FoalShell, Chvost, Laplas e PickleShell, que permitem acesso remoto interativo aos sistemas comprometidos. A campanha é monitorada pela Cisco Talos e pelo grupo Insikt, da Recorded Future, sob os nomes UAT-6275 e TAG-193.
“O foco dos ataques do UAT-6275 está na Ásia Central e, de forma mais ampla, na região da CEI”, afirmou a pesquisadora de segurança Ashley Shen. “Nas campanhas analisadas, as vítimas identificadas e os temas usados como isca abrangem nove países: Cazaquistão, Quirguistão, Tajiquistão, Turcomenistão, Uzbequistão, Armênia, Azerbaijão, Rússia e Belarus.”
O Silent Lynx foi documentado publicamente pela primeira vez no início de 2025, em uma análise da Seqrite Labs. O relatório descreveu ataques do threat actor contra embaixadas, advogados, bancos com apoio governamental e centros de estudos no Quirguistão e no Turcomenistão.
A avaliação é de que se trata de um threat actor ligado ao Cazaquistão, ativo desde pelo menos 2020. O grupo apresenta semelhanças com outros clusters de atividade, como YoroTrooper, também conhecido como Comrade Saiga, ShadowSilk, SturgeonPhisher, Cavalry Werewolf e Tomiris.
Há suspeitas de que UAT-6275 e YoroTrooper façam parte de um mesmo conjunto mais amplo de atividades, embora não tenham sido identificados indicadores ou ferramentas diretamente compartilhados entre os dois.
No início deste ano, a VMRay informou que um grupo que monitora como Hydra Saiga havia comprometido pelo menos 34 organizações em oito países desde dezembro de 2024. As atividades de reconhecimento também se estenderam a mais de 200 outros alvos pelo mundo.
Comrade Saiga e Hydra Saiga são nomes usados para se referir ao mesmo threat actor. O termo “Hydra” no nome adotado pela empresa faz referência ao foco do grupo em invadir infraestruturas ligadas a recursos hídricos na Ásia Central. Para isso, ele combina implantes personalizados escritos em Rust, Go e Python com técnicas que abusam de ferramentas já disponíveis nos sistemas.
As cadeias de ataque usam e-mails de spear phishing com documentos falsos sobre relações diplomáticas, comércio internacional, energia e aviação. Pelo menos oito campanhas foram identificadas na região entre janeiro de 2025 e maio de 2026.
As mensagens são enviadas de contas governamentais comprometidas e incluem documentos com aparência oficial, que dão mais credibilidade às tentativas de engenharia social. “Entre as iscas identificadas estavam uma carta diplomática endereçada ao Ministério das Relações Exteriores da Armênia, um formulário de solicitação de acesso ao espaço aéreo do Turcomenistão e uma proposta comercial relacionada à refinaria de petróleo de Orsk, na Rússia”, informou a Recorded Future.
Além disso, foram encontrados três diretórios de preparação acessíveis publicamente e associados ao threat actor. Eles hospedavam ferramentas compatíveis com Linux e um exploit de prova de conceito disponível publicamente para a CVE-2025-25257, uma falha de injeção em consultas a bancos de dados no Fortinet FortiWeb. A descoberta pode indicar uma ampliação das capacidades operacionais do grupo.
As sequências de infecção identificadas seguem quatro caminhos:
- **Junho de 2025:** uso de documentos do Word habilitados para macros para baixar e executar um binário de segundo estágio.
- **Julho de 2025:** uso de downloaders criados com o PS2EXE, ferramenta que empacota scripts do PowerShell como executáveis do Windows. Eles baixam payloads de shell reverso e criam tarefas agendadas para manter a persistência.
- **Outubro de 2025:** uso de um atalho malicioso (LNK) dentro de um arquivo RAR para iniciar o PowerShell, que baixa e executa um script hospedado no GitHub e fornece acesso remoto ao shell. Em versões posteriores, o grupo também baixa o PickleShell e o instala na pasta de Inicialização do Windows, para que seja executado sempre que alguém entrar no sistema.
- **Abril de 2026:** uso de um arquivo RAR que explora uma falha do WinRAR, a
CVE-2025-8088
, para instalar o PickleShell na pasta de Inicialização do Windows.
A cadeia de infecção observada em abril de 2026 marca a primeira vez que o UAT-6275 explorou uma falha de segurança para distribuir malware.
“A atividade persistente do UAT-6275 e a adoção de novas técnicas de distribuição indicam que o grupo continuará buscando acesso a órgãos governamentais da Ásia Central e da CEI”, afirmou a Talos. “O interesse em agências ambientais, ministérios da economia e infraestruturas de energia reflete o valor de inteligência das relações diplomáticas e da gestão de recursos na região.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...