Silent Lynx: nuevo actor vinculado a ataques en la CEI
El grupo de amenazas conocido como Silent Lynx ha sido señalado como responsable de una nueva ola de ataques dirigidos a organizaciones gubernamentales en la Comunidad de Estados Independientes (CEI). La actividad, observada entre junio de 2025 y agosto de 2026, comprende cuatro cadenas de infección distintas que emplean documentos habilitados para macros, descargadores creados con PS2EXE, scripts de PowerShell alojados en GitHub y archivos RAR manipulados que aprovechan la vulnerabilidad CVE-2025-8088.
Los ataques culminan con el despliegue de shells inversas personalizadas, entre las que se incluyen FoalShell, Chvost, Laplas y PickleShell, que proporcionan acceso remoto interactivo a los sistemas comprometidos. La información ha sido difundida por Cisco Talos y Recorded Future Insikt Group, que siguen la campaña bajo los nombres UAT-6275 y TAG-193.
El objetivo de UAT-6275 se concentra en Asia Central y la región más amplia de la CEI. En las campañas revisadas, las víctimas y los señuelos observados abarcan nueve países: Kazajistán, Kirguistán, Tayikistán, Turkmenistán, Uzbekistán, Armenia, Azerbaiyán, Rusia y Bielorrusia.
Antecedentes y vínculos con otros grupos
Silent Lynx fue documentado públicamente por primera vez por Seqrite Labs a principios de 2025, cuando se destacaron sus ataques contra embajadas, abogados, bancos gubernamentales y grupos de expertos en Kirguistán y Turkmenistán. Se evalúa que es un actor de amenazas con nexo en Kazajistán, activo al menos desde 2020, y que comparte solapamientos con otros grupos denominados YoroTrooper (también conocido como Comrade Saiga, ShadowSilk y SturgeonPhisher), ShadowSilk, Cavalry Werewolf y Tomiris.
Se sospecha que tanto UAT-6275 como YoroTrooper forman parte del mismo conglomerado de actividad, aunque no se ha observado una superposición directa de indicadores o herramientas entre ambos. A principios de este año, VMRay reveló que un grupo al que rastrea como Hydra Saiga comprometió al menos 34 organizaciones en 8 países desde diciembre de 2024, con esfuerzos de reconocimiento que se extendieron a más de 200 objetivos adicionales en todo el mundo.
Cabe señalar que Comrade Saiga y Hydra Saiga se refieren al mismo actor de amenazas. El prefijo 'hydra' en el alias hace alusión al fuerte enfoque del adversario en comprometer infraestructura vinculada específicamente a recursos hídricos en Asia Central, utilizando una combinación de implantes personalizados escritos en Rust, Go y Python, además de técnicas de evasión 'living-off-the-land'.
Cadenas de ataque y tácticas
Las cadenas de ataque del actor emplean correos de spear-phishing con documentos señuelo sobre relaciones diplomáticas, comercio internacional, energía y aviación. Se han identificado no menos de ocho campañas en la región entre enero de 2025 y mayo de 2026. Los correos se envían desde cuentas gubernamentales comprometidas y utilizan documentos de aspecto oficial para dar credibilidad al ataque de ingeniería social.
Entre los señuelos identificados había una carta diplomática dirigida al Ministerio de Asuntos Exteriores de Armenia, un formulario de solicitud de espacio aéreo de Turkmenistán y una propuesta comercial relacionada con la refinería de petróleo Orsk de Rusia.
Además, se han encontrado tres directorios de preparación accesibles públicamente vinculados al actor que albergan herramientas compatibles con Linux y un exploit de prueba de concepto disponible públicamente para CVE-2025-25257, una vulnerabilidad de inyección SQL en Fortinet FortiWeb, lo que sugiere una posible expansión de las capacidades operativas del grupo.
Cuatro rutas de infección
- Junio de 2025: uso de documentos de Word con macros para descargar y ejecutar un binario de segunda etapa.
- Julio de 2025: uso de descargadores creados con PS2EXE, una herramienta que empaqueta scripts de PowerShell como ejecutables de Windows, para obtener cargas de shell inversa y crear tareas programadas para persistencia.
- Octubre de 2025: uso de un acceso directo (LNK) malicioso dentro de un archivo RAR para lanzar PowerShell, que recupera y ejecuta un script alojado en GitHub que proporciona acceso remoto tipo shell. Iteraciones posteriores también descargan PickleShell y lo colocan en la carpeta de inicio de Windows para que se ejecute automáticamente cada vez que un usuario inicia sesión.
- Abril de 2026: uso de un archivo RAR que explota una vulnerabilidad en WinRAR (CVE-2025-8088) para dejar PickleShell en la carpeta de inicio de Windows.
La cadena de infección de abril de 2026 marca la primera vez que UAT-6275 utiliza una vulnerabilidad de seguridad como parte de sus métodos de entrega de malware.
La actividad sostenida de UAT-6275 y la adopción de nuevas técnicas de entrega sugieren que el grupo continuará buscando acceso a organizaciones gubernamentales en Asia Central y la CEI. Su interés en agencias ambientales, ministerios de economía e infraestructura energética refleja el valor de inteligencia de la diplomacia regional y la gestión de recursos.
Deja una respuesta