Een dreigingsacteur die door meerdere partijen wordt gevolgd als Silent Lynx, wordt gekoppeld aan een reeks aanvallen op overheid en aan de overheid gelieerde organisaties in de CIS-regio (Commonwealth of Independent States). De campagne loopt volgens waarnemingen vanaf juni 2025 tot augustus 2026 en gebruikt meerdere infectieketens. Een opvallend onderdeel: de inzet van een WinRAR reverse shell via een WinRAR-kwetsbaarheid, waarmee aanvallers toegang krijgen tot besmette systemen.
Onderzoekers van Cisco Talos en Recorded Future Insikt Group zien in totaal vier verschillende manieren om payloads te leveren. Daarbij worden onder meer macro-rijke documenten, PS2EXE-downloaders, GitHub-gehoste scripts en speciaal gemaakte RAR-archieven ingezet. De campagne is te volgen onder coderingen zoals UAT-6275 en TAG-193.
Wie is Silent Lynx en waar richt de campagne zich?
Silent Lynx wordt beschouwd als een dreigingsactor met een Kazakhstan-nexus. De activiteiten zouden al ten minste vanaf 2020 plaatsvinden. Eerdere publicaties koppelden de actor al aan aanvallen op onder meer ambassades, juristen, overheid-gerelateerde banken en think tanks in landen als Kyrgyzstan en Turkmenistan.
In de geanalyseerde campagnes zijn slachtoffers en lokaties terug te zien in negen landen: Kazakhstan, Kyrgyzstan, Tajikistan, Turkmenistan, Oezbekistan, Armenië, Azerbeidzjan, Rusland en Belarus. De focus lijkt vooral te liggen op organisaties die waardevolle informatie kunnen opleveren over regionale diplomatie en het beheer van middelen.
De rol van spearphishing: lokdocumenten met een officiële uitstraling
De aanval begint doorgaans met spearphishing-e-mails die afkomstig zijn van gecompromitteerde overheidsaccounts. De berichten bevatten decoy-documenten die eruitzien alsof ze met officiële instanties en procedures te maken hebben.
Recorded Future noemt onder meer voorbeelden zoals:
- een diplomatieke brief gericht aan de Ministerie van Buitenlandse Zaken van Armenië
- een aanvraagformulier gerelateerd aan het luchtruim van Turkmenistan
- een zakelijk voorstel over de Orsk Oil Refinery in Rusland
Door thema’s te kiezen die inhoudelijk passen bij de regio en het werkveld van de doelwitten, verhogen aanvallers de kans dat ontvangers het document openen en uitvoeren.
Vier infectieketens: van macro’s tot GitHub-gehoste remote toegang
De campagne is niet “één aanpak voor iedereen”, maar bestaat uit verschillende infectieroutes die in de tijd zijn ontwikkeld. In de waargenomen periode zijn vier hoofdpaden beschreven:
1) Macro-gedreven levering (juni 2025)
In juni 2025 gebruiken aanvallers macro-enabled Word-documenten om een tweede fase binair bestand te downloaden en uit te voeren. Dit past in een klassieke keten waarin het document zelf als initiële trigger dient.
2) PS2EXE downloaders en persistence (juli 2025)
In juli 2025 worden downloaders ingezet die zijn opgebouwd met PS2EXE. Dat is een manier om PowerShell-scripts als Windows executable te verpakken. Vervolgens worden reverse-shell payloads opgehaald en worden scheduled tasks gebruikt om persistentie te creëren.
3) RAR met LNK en scripts via GitHub (oktober 2025)
In oktober 2025 is er een route gezien waarbij een RAR-archief een malicious shortcut (LNK) bevat. Die shortcut start PowerShell, die op zijn beurt een op GitHub gehost script ophaalt. Dat script geeft de aanvaller remote shell-toegang. Latere iteraties zouden ook PickleShell downloaden en in de Windows Startup-map plaatsen, zodat het automatisch draait zodra een gebruiker inlogt.
4) WinRAR-exploit voor levering van PickleShell (april 2026)
In april 2026 duikt een nieuw element op: een infectieketen die een WinRAR-kwetsbaarheid uitbuit, namelijk CVE-2025-8088. Hierbij wordt PickleShell neergezet in de Windows Startup-omgeving. Dit wordt gezien als het eerste moment waarop UAT-6275 een beveiligingslek als onderdeel van de malwarelevering actief inzet.
Wat is de “WinRAR reverse shell” en wat levert het op?
De term WinRAR reverse shell verwijst in deze context naar remote toegang die via de exploitketen wordt afgedwongen. De campagne gebruikt reverse shells die volgens de analyses zijn terug te voeren op custom varianten, zoals FoalShell, Chvost, Laplas en PickleShell. Dit soort tooling stelt een aanvaller in staat om interactieve opdrachten uit te voeren op een besmet systeem, vanaf een externe locatie.
Belangrijk is dat het niet alleen om één “eenmalige” besmetting gaat. Door scheduled tasks en het plaatsen van payloads in Startup-mappen kan de actor toegang behouden en herstarten overleven. Daarmee verschuift het incident van “compromitteren” naar “operationeel blijven”.
Kansen voor uitbreiding: staging directories en extra PoC’s
Naast de kernketens zijn er aanwijzingen dat de actor verder wil groeien. Er zouden drie publiek toegankelijke staging directories zijn gevonden die gelinkt zijn aan de dreigingsactor. Daar staat tooling die compatibel is met Linux, en bovendien een publiek beschikbare proof-of-concept voor CVE-2025-25257.
Die PoC zou betrekking hebben op een SQL-injectie in Fortinet FortiWeb. De onderzoekers wijzen erop dat dit kan suggereren dat de operationele mogelijkheden worden uitgebreid richting andere platforms of aanvalselementen.
Context: verwante clusters en water-gerichte focus
Silent Lynx wordt ook in verband gebracht met (of overlapt met) andere clusters in dezelfde bredere “campagnefamilie”. Talos en Recorded Future bespreken onder meer coderingen zoals YoroTrooper (met namen als Comrade Saiga, ShadowSilk en SturgeonPhisher), ShadowSilk, Cavalry Werewolf en Tomiris.
Daarnaast speelt de link met Hydra Saiga. Er wordt vermoed dat UAT-6275 en YoroTrooper onderdeel zijn van hetzelfde bredere activiteitencluster, maar er is geen directe toolset-overlap gezien. Hydra Saiga zou volgens een andere onderzoekslijn in ieder geval al ten minste 34 organisaties hebben gecompromitteerd in 8 landen sinds december 2024, met verkenningen die naar meer dan 200 extra doelen wereldwijd zouden reiken.
De “hydra”-benaming wordt gekoppeld aan een sterke focus op het binnendringen van infrastructuur rond waterbronnen in Centraal-Azië, met eigen implants die zijn geschreven in Rust, Go en Python, vaak met Living-off-the-Land technieken.
Wat betekent dit voor CIS overheden en vergelijkbare organisaties?
Omdat de aanval op meerdere momenten en via meerdere vectoren verloopt, is het risico niet beperkt tot één patch-window. Organisaties doen er verstandig aan om zowel aan de leveringskant (phishing, documentafhandeling, archieven) als aan de verdedigingskant (detectie van reverse shells en persistence) maatregelen te stapelen.
Concreet helpt het om:
- macro’s en scripting vanuit documenten strikt te beperken of te controleren
- RAR/SFX- en archiefcontent te inspecteren, zeker wanneer er LNK’s of onverwachte scripts in zitten
- endpoint monitoring te intensiveren op signalen die passen bij reverse shells (bijvoorbeeld ongebruikelijke netwerkverbindingen en command execution)
- persistentiegedrag te volgen, zoals scheduled tasks en wijzigingen in Startup-mappen
- patch- en hardeningprocessen rondom archive tools en hun kwetsbaarheden consequent op te volgen
Als je meer achtergrond wilt over het beveiligen van omgevingen tegen geavanceerde dreigingen, is ook interessant hoe identiteits- en zero-trustprincipes dit soort aanvallen lastiger maken. Zie bijvoorbeeld: Zero Trust en identity security: strategieën in 2026.
Vergelijkbare patronen: van RCE-ketens naar remote shell risico’s
Deze campagne laat zien hoe snel een dreigingsacteur verschillende technieken kan combineren: van social engineering tot het misbruiken van softwarekwetsbaarheden en het opzetten van interactieve remote toegang. Dat patroon zie je vaker terug bij recente incidenten waarin een initiële exploit niet eindigt bij de eerste fout, maar doorloopt naar een payload en vervolgstappen.
Ter vergelijking kun je ook kijken naar recente berichten over kwetsbaarheden die leiden tot code-uitvoering of remote toegang, bijvoorbeeld: Cisco Secure Email Gateway kwetsbaarheid: aanpak. Hoewel de techniek niet identiek is, helpt het om te zien hoe verdedigers steeds dezelfde basisprioriteiten toepassen: patchen, detecteren en uitbraakbeperking.
Conclusie
Silent Lynx toont met deze campagne dat het niet bij één ingang blijft. Door door de tijd heen verschillende infectieketens te gebruiken en in april 2026 een WinRAR-kwetsbaarheid (CVE-2025-8088) actief als leveringsmethode te adopteren, vergroot de actor de kans op succesvolle compromittering. De inzet van WinRAR reverse shell-achtige functionaliteit via custom reverse shells maakt bovendien dat aanvallers direct operationeel worden op besmette hosts.
Voor organisaties in de CIS-regio (en daarbuiten) is de belangrijkste boodschap: neem zowel phishing- en documentrisico’s als tool- en kwetsbaarheidsbeheer serieus, en monitor vooral op tekenen van remote shell gedrag en persistentie.
Bron: https://thehackernews.com/2026/10/silent-lynx-exploits-winrar-flaw-to.html
