De dreigingsactor bekend als Silent Lynx wordt in verband gebracht met een nieuwe reeks aanvallen gericht op overheidsinstellingen in de Gemenenschap van Onafhankelijke Staten (GOS).
De activiteit, waargenomen van juni 2025 tot en met augustus 2026, omvat vier verschillende infectieketens die gebruikmaken van documenten met ingeschakelde macro’s, PS2EXE-downloaders, PowerShell-scripts gehost op GitHub en speciaal samengestelde WinRAR-archieven die misbruik maken van CVE-2025-8088.
De aanvallen leiden tot de inzet van op maat gemaakte reverse shells zoals FoalShell, Chvost, Laplas en PickleShell die interactieve externe toegang tot gecompromitteerde systemen mogelijk maken, aldus Cisco Talos en Recorded Future Insikt Group, die de campagne volgen onder de aanduidingen UAT-6275 en TAG-193.
“UAT-6275’s doelwitten zijn geconcentreerd in Centraal-Azië en de bredere GOS-regio,” zei beveiligingsonderzoeker Ashley Shen. “In de onderzochte campagnes bestrijken de waargenomen slachtoffers en lokthema’s negen landen: Kazachstan, Kirgizië, Tadzjikistan, Turkmenistan, Oezbekistan, Armenië, Azerbeidzjan, Rusland en Wit-Rusland.”
Silent Lynx werd voor het eerst publiekelijk gedocumenteerd door Seqrite Labs begin 2025, waarbij de aanvallen van de dreigingsactor op ambassades, advocaten, door de overheid gesteunde banken en denktanks in Kirgizië en Turkmenistan werden belicht.
De actor wordt ingeschat als een dreigingsgroep met een knooppunt in Kazachstan die actief is sinds ten minste 2020 en vertoont overlappingen met andere clusters met codenamen als YoroTrooper (ook bekend als Comrade Saiga, ShadowSilk en SturgeonPhisher), ShadowSilk, Cavalry Werewolf en Tomiris.
Vermoed wordt dat zowel UAT-6275 als YoroTrooper deel uitmaken van dezelfde bredere activiteitencluster, hoewel er geen directe overlap in indicatoren of toolsets tussen de twee is waargenomen.
Eerder dit jaar maakte VMRay bekend dat een door hen gevolgde dreigingscluster die zij Hydra Saiga noemen sinds december 2024 minstens 34 organisaties in 8 landen had gecompromitteerd, met verkennende activiteiten richting meer dan 200 extra doelwitten wereldwijd.
Het is vermeldenswaard dat zowel Comrade Saiga als Hydra Saiga naar dezelfde dreigingsactor verwijzen. Het voorvoegsel “hydra” in de tracking-alias verwijst naar de sterke focus van de tegenstander op het binnendringen van infrastructuur die specifiek gekoppeld is aan watervoorraden in Centraal-Azië, waarbij een mix van aangepaste implants in Rust, Go en Python en Living-off-the-Land-technieken wordt gebruikt.
De door de actor uitgevoerde aanvalsketens maken gebruik van spearphishing-e-mails met lokaasdocumenten over diplomatieke betrekkingen, internationale handel, energie en luchtvaart. Niet minder dan acht campagnes zijn tussen januari 2025 en mei 2026 in de regio geïdentificeerd.
De phishing-e-mails worden verzonden vanaf gecompromitteerde overheidsaccounts en gebruiken ogenschijnlijk officiële documenten om de social-engineeringaanval geloofwaardigheid te geven. “Gevonden lokaasdocumenten omvatten een diplomatieke brief gericht aan het Ministerie van Buitenlandse Zaken van Armenië, een aanvraagformulier voor het luchtgebied van Turkmenistan en een zakelijk voorstel met betrekking tot de Orsk-raffinaderij in Rusland,” zei Recorded Future.
Bovendien zijn drie publiek toegankelijke stagingdirectories die aan de dreigingsactor zijn gekoppeld gevonden, waarin Linux-compatibele tools en een publiek beschikbare proof-of-concept-exploit voor CVE-2025-25257 — een SQL-injectieflaw in Fortinet FortiWeb — werden gehost, wat wijst op een mogelijke uitbreiding van de operationele capaciteiten van de actor.
Er zijn vier verschillende infectiepaden vastgesteld:
- juni 2025 – Gebruik van Word-documenten met ingeschakelde macro’s om een tweede-fase-binary te downloaden en uit te voeren.
- juli 2025 – Gebruik van downloaders gebouwd met PS2EXE, een tool die PowerShell-scripts verpakt als Windows-uitvoerbare bestanden, om reverse-shellpayloads op te halen en geplande taken aan te maken voor persistentie.
- oktober 2025 – Gebruik van een kwaadaardige snelkoppeling (LNK) binnen een RAR-archief om PowerShell te starten, dat een op GitHub gehost script ophaalt en uitvoert dat externe shelltoegang biedt. Latere iteraties downloaden ook PickleShell en plaatsen deze in de Windows-opstartmap zodat het automatisch wordt gestart bij het inloggen.
- april 2026 – Gebruik van een RAR-archief dat misbruikmaakt van een WinRAR-zwakte (CVE-2025-8088) om PickleShell in de Windows-opstartmap achter te laten.
De infectieketen van april 2026 markeert de eerste keer dat UAT-6275 een beveiligingslek heeft ingezet als onderdeel van zijn malware-leveringsmethoden.
“De aanhoudende activiteit van UAT-6275 en de adoptie van nieuwe leveringsmethoden suggereren dat de groep zal blijven streven naar toegang tot overheidsorganisaties in Centraal-Azië en de GOS-regio,” zei Talos. “De interesse in milieuagentschappen, economische ministeries en energie-infrastructuur weerspiegelt de inlichtingenwaarde van regionale diplomatie en hulpbronnenbeheer.”
