O grupo de ameaças conhecido como Silent Lynx foi associado a um novo conjunto de ataques contra organizações governamentais da Comunidade dos Estados Independentes (CEI, bloco que reúne países da antiga União Soviética).
A atividade, observada de junho de 2025 a agosto de 2026, envolve quatro cadeias de infecção distintas. Elas utilizam documentos com macros habilitadas, downloaders criados com PS2EXE (ferramenta que transforma scripts PowerShell em executáveis do Windows), PowerShell hospedado no GitHub e arquivos RAR forjados que exploram a falha CVE-2025-8088 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns, identificador padrão de falhas de segurança).
Os ataques levam à implantação de shells reversos personalizados, como FoalShell, Chvost, Laplas e PickleShell, que permitem acesso remoto interativo aos computadores comprometidos. A informação é da Cisco Talos e do Recorded Future Insikt Group, que acompanham a campanha sob os apelidos UAT-6275 e TAG-193.
“A atuação do UAT-6275 está concentrada na Ásia Central e em toda a região da CEI”, afirmou a pesquisadora de segurança Ashley Shen. “Nas campanhas analisadas, as vítimas observadas e os temas usados como isca abrangem nove países: Cazaquistão, Quirguistão, Tadjiquistão, Turcomenistão, Uzbequistão, Armênia, Azerbaijão, Rússia e Bielorrússia.”
O Silent Lynx foi documentado publicamente pela primeira vez pela Seqrite Labs no início de 2025. Na ocasião, a empresa destacou ataques do grupo contra embaixadas, advogados, bancos ligados ao governo e centros de estudos no Quirguistão e no Turcomenistão.
Avalia-se que se trate de um grupo de ameaças com vínculos com o Cazaquistão, ativo desde pelo menos 2020. Ele apresenta sobreposições com outros grupos conhecidos como YoroTrooper (também chamado Comrade Saiga, ShadowSilk e SturgeonPhisher), ShadowSilk, Cavalry Werewolf e Tomiris.
Suspeita-se que o UAT-6275 e o YoroTrooper façam parte do mesmo grande agrupamento de atividades, embora não tenha sido observada nenhuma sobreposição direta de indicadores ou de conjuntos de ferramentas entre os dois.
No início deste ano, a VMRay divulgou que um agrupamento de ameaças que ela acompanha como Hydra Saiga comprometeu pelo menos 34 organizações em 8 países desde dezembro de 2024. Além disso, as atividades de reconhecimento se estenderam a mais de 200 alvos adicionais no mundo.
Vale ressaltar que Comrade Saiga e Hydra Saiga se referem ao mesmo grupo de ameaças. O prefixo “hydra” no alias de rastreamento faz referência ao foco intenso do grupo em invadir infraestruturas ligadas especificamente a recursos hídricos da Ásia Central. Para isso, ele usa uma combinação de implantes personalizados escritos em Rust, Go e Python, além de técnicas de living off the land (uso de ferramentas nativas do próprio sistema operacional).
As cadeias de ataque montadas pelo grupo envolvem e-mails de spear-phishing (phishing direcionado a alvos específicos) com documentos-isca sobre relações diplomáticas, comércio internacional, energia e aviação. Foram identificadas pelo menos oito campanhas na região entre janeiro de 2025 e maio de 2026.
Os e-mails de phishing são enviados a partir de contas governamentais comprometidas e utilizam documentos com aparência oficial para dar credibilidade à engenharia social. “As iscas identificadas incluíram uma carta diplomática endereçada ao Ministério das Relações Exteriores da Armênia, um formulário de solicitação de espaço aéreo do Turcomenistão e uma proposta de negócios relacionada à Refinaria de Petróleo de Orsk, na Rússia”, afirmou o Recorded Future.
Além disso, três diretórios públicos de staging ligados ao grupo foram encontrados hospedando ferramentas compatíveis com Linux e uma prova de conceito (PoC) disponível publicamente para a falha CVE-2025-25257, uma injeção de SQL (SQL, sigla de Structured Query Language, ou linguagem de consulta estruturada) no Fortinet FortiWeb. Isso sugere uma possível expansão das capacidades operacionais do grupo.
Foram identificados quatro caminhos de infecção:
- Junho de 2025 - Uso de documentos do Word com macros habilitadas para baixar e executar um binário de segundo estágio.
- Julho de 2025 - Uso de downloaders criados com PS2EXE para buscar cargas de shell reverso e criar tarefas agendadas para garantir a persistência.
- Outubro de 2025 - Uso de um atalho malicioso (LNK) dentro de um arquivo RAR para acionar o PowerShell, que baixa e executa um script hospedado no GitHub, o qual fornece acesso remoto por shell. Iterações posteriores também baixam o PickleShell e o colocam na pasta de Inicialização do Windows, para que seja executado automaticamente sempre que um usuário fizer login no sistema.
- Abril de 2026 - Uso de um arquivo RAR que explora uma falha do WinRAR (CVE-2025-8088) para instalar o PickleShell na pasta de Inicialização do Windows.
A cadeia de infecção de abril de 2026 marca a primeira vez em que o UAT-6275 utiliza uma falha de segurança como parte de seus métodos de entrega de malware.
“A atividade contínua do UAT-6275 e a adoção de novas técnicas de entrega sugerem que o grupo deve seguir buscando acesso a órgãos governamentais na Ásia Central e na CEI”, afirmou a Talos. “Seu interesse em agências ambientais, ministérios da economia e infraestrutura de energia reflete o valor de inteligência da diplomacia regional e da gestão de recursos.”
