被称为 Silent Lynx 的威胁行为者被归因于一系列针对独立国家联合体（CIS）政府组织的新攻击。
该活动从 2025 年 6 月到 2026 年 8 月被观察到，涉及四条不同的感染链，利用启用宏的文档、PS2EXE 下载器、托管在 GitHub 上的 PowerShell 和利用 CVE-2025-8088 漏洞的精心制作的 WinRAR 压缩文件。
根据 Cisco Talos 和 Recorded Future Insikt Group 的报告，这些攻击导致了自定义反向 Shell 的部署，如 FoalShell、Chvost、Laplas 和 PickleShell，方便对被攻陷主机进行交互式远程访问，这些组织将该活动追踪为 UAT-6275 和 TAG-193。
“UAT-6275 的目标集中在中亚及更广泛的 CIS 地区，”安全研究员 Ashley Shen 说。“在审查的活动中，观察到的受害者和诱饵主题跨越九个国家：哈萨克斯坦、吉尔吉斯斯坦、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦、亚美尼亚、阿塞拜疆、俄罗斯和白俄罗斯。”
Silent Lynx 于 2025 年初首次被 Seqrite Labs 公开记录，突显了该威胁行为者对吉尔吉斯斯坦和土库曼斯坦的使馆、律师、政府支持的银行和智库的攻击。
该行为者被评估为一个与哈萨克斯坦相关的威胁行为者，自 2020 年以来活跃，与其他代号为 YoroTrooper（又名 Comrade Saiga、ShadowSilk 和 SturgeonPhisher）、ShadowSilk、Cavalry Werewolf 和 Tomiris 的集群存在重叠。
怀疑 UAT-6275 和 YoroTrooper 是同一更广泛活动集群的一部分，尽管尚未观察到两者之间的直接指示或工具集重叠。
今年早些时候，VMRay 披露了一个被其追踪为 Hydra Saiga 的威胁集群，自 2024 年 12 月以来已攻陷至少 34 个组织，涉及 8 个国家，其侦察工作扩展到全球超过 200 个额外目标。
值得注意的是，Comrade Saiga 和 Hydra Saiga 指的是同一威胁行为者。追踪别名中的“hydra”前缀是对该对手在中亚专门针对水资源相关基础设施进行渗透的重视，使用了一系列用 Rust、Go 和 Python 编写的自定义植入物和利用现有环境的技术。
该威胁行为者发起的攻击链涉及使用包含外交关系、国际贸易、能源和航空主题的诱饵文档的网络钓鱼电子邮件。在 2025 年 1 月至 2026 年 5 月期间，已识别出不少于八个活动。
这些网络钓鱼电子邮件是从被攻陷的政府账户发送的，并利用看似官方的文档为社会工程攻击增添可信度。“已识别的诱饵包括一封致亚美尼亚外交部的外交信函、一份土库曼斯坦空域申请表，以及一份关于俄罗斯奥尔斯克石油精炼厂的商业提案，”Recorded Future 说。
此外，发现与该威胁行为者相关的三个公开可访问的暂存目录，托管有与 Linux 兼容的工具和一个公开可用的 CVE-2025-25257 漏洞的概念验证利用工具，这是 Fortinet FortiWeb 中的 SQL 注入漏洞，暗示该威胁行为者的操作能力可能扩展。
感染序列被发现采用四条不同的路径——
2025 年 6 月 - 使用启用宏的 Word 文档下载并运行第二阶段二进制文件。
2025 年 7 月 - 使用 PS2EXE 构建的下载器，该工具将 PowerShell 脚本打包为 Windows 可执行文件，以获取反向 Shell 有效负载并创建计划任务以实现持久性。
2025 年 10 月 - 在 RAR 压缩文件中使用恶意快捷方式（LNK）启动 PowerShell，负责检索和执行托管在 GitHub 上的脚本，以提供远程 Shell 访问。后续版本还下载 PickleShell 并将其放置在 Windows 启动文件夹中，以便每次用户登录系统时自动启动。
2026 年 4 月 - 使用利用 WinRAR 漏洞（CVE-2025-8088）的 RAR 压缩文件，将 PickleShell 放置在 Windows 启动文件夹中。
2026 年 4 月的感染链标志着 UAT-6275 首次将安全漏洞作为其恶意软件交付方法的一部分进行武器化。
“UAT-6275 的持续活动和新交付技术的采用表明，该组织将继续追求对中亚和 CIS 政府组织的访问，”Talos 说。“它对环境机构、经济部和能源基础设施的兴趣反映了区域外交和资源管理的情报价值。”
觉得这篇文章有趣吗？请在 Google News、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。