Silent Lynx
A Cisco Talos és a Recorded Future Insikt Group közös kutatást tett közzé az UAT-6275, más néven TAG-193 vagy Silent Lynx kiberkémkedési csoport tevékenységéről. A támadók 2025 júniusa és 2026 augusztusa között elsősorban a Független Államok Közösségének (FÁK) kormányzati szervezeteit célozták, különös figyelmet fordítva a diplomáciai, gazdasági, mezőgazdasági és környezetvédelmi intézményekre.
A kutatók kilenc országot érintő célpontokat és megtévesztő dokumentumokat azonosítottak, köztük örmény, tádzsik, belarusz és üzbég szervezetekhez kapcsolódó aktivitást. A vízgazdálkodási és energetikai témák iránti érdeklődés regionális hírszerzési célokra utalhat.
A csoport négy különböző fertőzési láncot alkalmazott. Kezdetben rosszindulatú Word-makrókkal és PowerShell-alapú letöltőkkel terjesztették kártevőiket, később GitHubon tárolt szkripteket és manipulált Windows-parancsikonokat használtak. 2026 áprilisában már a WinRAR CVE-2025-8088 sérülékenységét is kihasználták, hogy a PickleShell malwaret a Windows automatikus indítási mappájába helyezzék. A Chvost, Laplas és PickleShell back door interaktív távoli parancsvégrehajtást biztosítottak a támadóknak.
A vizsgálat során három nyilvánosan hozzáférhető támadói könyvtárat és egy GitHub-tárolót fedeztek fel, amelyekből rekonstruálhatóvá vált a kártevők fejlesztése és a vezérlőszerverek változása. Linux-kompatibilis eszközöket és egy FortiWeb-sérülékenységhez tartozó támadókódot is találtak, de ezek tényleges bevetését nem igazolták.
A kutatók közepes bizonyossággal kazahsztáni kötődést feltételeznek, amit a munkavégzési időpontok, a nyelvi nyomok és a kártevőminták feltöltési helyei támasztanak alá. Állami irányítást azonban nem sikerült bizonyítani. A védekezés szempontjából a szokatlan PowerShell-tevékenység, a GitHubról letöltött futtatható tartalmak és az automatikus indítási bejegyzések ellenőrzése, valamint a WinRAR frissítése különösen fontos.
