LONDON (IT BOLTWISE) – Ein Angreifer namens Silent Lynx soll über mehrere Jahre gezielt Regierungsorganisationen im CIS-Raum kompromittiert haben. In der aktuellen Vorgehensweise kombiniert das Cluster Makro-Dokumente, PS2EXE-Downloader und GitHub-gehostete PowerShell mit präparierten WinRAR-Archiven. Dabei wird der WinRAR-Fehler CVE-2025-8088 ausgenutzt, um die Ablage und spätere Ausführung von Reverse-Shell-Komponenten zu ermöglichen. Laut den Beobachtern reicht die Kampagne von Zentralasien bis nach Russland und Belarus und nutzt dabei auch Persistenzmechanismen wie Aufgabenplanung und Autostart-Ordner.
Die Sicherheitslage in Zentralasien und im weiteren CIS-Raum bekommt erneut eine konkrete technische Schärfe: Laut Cisco Talos sowie Recorded Future Insikt Group wird der Threat Actor Silent Lynx einer Reihe von Angriffen zugeordnet, die von Juni 2025 bis August 2026 über mehrere voneinander getrennte Infektionsketten liefen. Im Zentrum stehen dabei zielgerichtete Dokument- und Downloader-Ketten, die am Ende Reverse Shells nachladen, die einen interaktiven Fernzugriff auf kompromittierte Systeme ermöglichen. Die Aktivität wird unter den Tracking-Namen UAT-6275 und TAG-193 geführt und bezieht sich auf vier unterschiedliche Wege zur Initialkompromittierung und zum Laden der Endpayloads.
Auffällig ist vor allem, dass die Angreifer nicht bei einer einzigen Technik bleiben, sondern ihre Delivery-Methoden iterativ verfeinern. Die beobachteten Sequenzen starten in unterschiedlichen Monaten mit Makro-aktivierten Word-Dokumenten, die über einen zweiten Schritt ein Binary nachladen und ausführen. Später kamen Downloader zum Einsatz, die PS2EXE nutzen: Dabei werden PowerShell-Skripte in ausführbare Windows-Dateien verpackt, sodass sich die nachgeladenen Komponenten leichter triggern und tarntief in die Systemumgebung bringen lassen. Wiederum zu einem anderen Zeitpunkt wird ein bösartiger LNK-Anker innerhalb eines RAR-Archivs verwendet, um PowerShell zu starten und anschließend ein GitHub-gehostetes Skript zu beziehen, das den Remote-Shell-Zugriff bereitstellt.
Technisch betrachtet zeigt sich die eigentliche Angriffslogik in der Kombination aus Payload-Funktion und Persistenz. Die Reverse Shells werden nicht nur als einmaliger Einstieg verstanden, sondern als dauerhaft nutzbarer Zugriffspfad in den kompromittierten Umgebungen. Neben benutzerinteraktiven Mechanismen tauchen auch klassische Persistenzhebel auf, etwa das Erstellen geplanter Aufgaben sowie das Ablegen von PickleShell im Windows-Startup-Ordner, damit die Komponente beim Login automatisch startet. Genau dieses Zusammenspiel ist entscheidend: Es reduziert die Abhängigkeit von der initialen Phishing- oder Dokumentauslieferung und verlängert die Verweildauer, während das Team im Hintergrund weiter recherchieren oder lateral vorgehen kann.
Ein wichtiger Wendepunkt liegt laut den vorliegenden Analysen in der April-2026-Kette: Erstmals habe UAT-6275 einen Sicherheitsfehler als Bestandteil der Delivery-Werkzeuge „geweaponized“. Konkret wird ein WinRAR-Problem mit der Kennung CVE-2025-8088 ausgenutzt, um PickleShell im Startup-Umfeld abzulegen. In derselben Kampagnenlinie verweisen die Beobachter zudem auf öffentliche Staging-Verzeichnisse, die Linux-kompatible Tooling-Bausteine und sogar einen Proof-of-Concept für CVE-2025-25257 enthalten – ein SQL-Injection-Fehler in Fortinet FortiWeb. Auch wenn daraus nicht automatisch eine konkrete FortiWeb-Ausnutzung folgt, deutet die Verfügbarkeit solcher Bausteine darauf hin, dass das Cluster seine operativen Möglichkeiten weiter ausbaut und häufiger neue Angriffsflächen integriert.
Der geografische Zuschnitt der Kampagne wirkt dabei nicht zufällig. „UAT-6275’s targeting is concentrated in Central Asia, and the wider CIS region“, sagte der Security Researcher Ashley Shen. In den ausgewerteten Kampagnen werden Opfer und Köder-Themen über neun Länder hinweg beschrieben: Kasachstan, Kirgisistan, Tadschikistan, Turkmenistan, Usbekistan, Armenien, Aserbaidschan, Russland und Belarus. Die Phishing-Nachrichten werden aus kompromittierten Regierungsaccounts versendet und nutzen jeweils offiziell wirkende Lures, die diplomatische Beziehungen, internationalen Handel, Energie- und Luftfahrtbezüge aufgreifen; als Beispiele werden ein diplomatisches Schreiben an das armenische Außenministerium, ein Luftverkehrsformular aus Turkmenistan sowie ein Business Proposal zu Russlands Orsk Oil Refinery genannt. Gerade diese Themenwahl sorgt dafür, dass Empfänger eher geneigt sind, die Dokumente zu öffnen und die Inhalte nicht als „Standard-Phishing“ einzuordnen.
Historisch lässt sich Silent Lynx nicht als isoliertes Ereignis betrachten. Öffentlich dokumentiert wurde der Akteur erstmals Anfang 2025 durch Seqrite Labs, wobei der Fokus schon damals auf Angriffen gegen Botschaften, Anwaltskanzleien, government-backed Banken sowie Think Tanks in Kirgisistan und Turkmenistan lag. Zusätzlich wird eine Einordnung als „Kazakhstan-nexus“-Cluster diskutiert, das seit mindestens 2020 aktiv sein soll. Die Zuordnung überschneidet sich laut den Analysen auch mit weiteren Clustern wie YoroTrooper (genannt werden Comrade Saiga, ShadowSilk und SturgeonPhisher), ShadowSilk, Cavalry Werewolf und Tomiris; gleichzeitig wird betont, dass zwischen den genannten Cluster-Paaren bislang kein direkter Indikator- oder Toolset-Overlap beobachtet wurde.
Für Unternehmen und Behörden ergibt sich daraus vor allem eine praktische Konsequenz: Verteidigungsmaßnahmen sollten nicht auf eine einzelne Initialtechnik verengt werden, weil die Angreifer die Angriffsoberfläche entlang mehrerer Stufen adaptieren. Wer nur Makros absichert, aber PS2EXE-gestützte Downloader oder GitHub-gestützte Skriptketten nicht im Blick hat, lässt eine Lücke offen; wer nur auf RAR/Microsoft-Office fokussiert ist, übersieht womöglich die Persistenzpfade via geplante Tasks oder Startup-Ordner. Gleichzeitig lohnt der Abgleich mit ähnlichen Auswertungen, etwa wenn VMRay von einem Hydra-Saiga-Cluster berichtet, das seit Dezember 2024 mindestens 34 Organisationen in acht Ländern kompromittiert haben soll, während die Reconnaissance auf mehr als 200 weitere Ziele ausgeweitet worden sein soll. Insgesamt legt die beobachtete Kombination aus mehrstufiger Delivery, modularen Reverse-Shell-Komponenten und dem gezielten Einsatz neuer Schwachstellen nahe, dass das Cluster weiterhin daran arbeitet, Zugriffe in sicherheitskritischen Regierungsumfeldern zu skalieren und auszudehnen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Silent Lynx nutzt WinRAR-Fehler für Reverse-Shell-Zugriff in CIS-Regierungen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Silent Lynx nutzt WinRAR-Fehler für Reverse-Shell-Zugriff in CIS-Regierungen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Silent Lynx nutzt WinRAR-Fehler für Reverse-Shell-Zugriff in CIS-Regierungen« bei Google Deutschland suchen, bei Bing oder Google News!