Kazakistan bağlantılı Silent Lynx, WinRAR açığıyla Orta Asya hükümetlerini hedef aldı

Cisco Talos ile Recorded Future'ın Insikt Group ekibi, Orta Asya ve Bağımsız Devletler Topluluğu (BDT) ülkelerindeki hükümet kurumlarını hedef alan bir casusluk grubuna ilişkin ortak araştırmalarını yayımladı. Talos'un UAT-6275, Recorded Future'ın ise TAG-193 adıyla izlediği küme, daha önce Seqrite Labs tarafından belgelenen Silent Lynx ile ilişkilendiriliyor.

Hedefler ve yem belgeler

The Hacker News'in aktardığına göre Haziran 2025 ile Ağustos 2026 arasında gözlenen faaliyet; Kazakistan, Kırgızistan, Tacikistan, Türkmenistan, Özbekistan, Ermenistan, Azerbaycan, Rusya ve Belarus olmak üzere dokuz ülkeye yayılıyor. Oltalama e-postalarının ele geçirilmiş hükümet hesaplarından gönderildiği belirtiliyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Kullanılan yemler arasında Ermenistan Dışişleri Bakanlığı'na hitaben yazılmış diplomatik bir mektup, Türkmenistan hava sahası başvuru formu ve Rusya'daki Orsk Petrol Rafinerisi ile ilgili bir iş teklifi bulunuyor. Reuters'a dayanan haberlerde, rafineri temalı belgenin ilgili kurumların başarıyla ihlal edildiğini kanıtlamadığı vurgulanıyor.

Araçlar ve teknikler

Grubun araç setinde FoalShell, Chvost, Laplas ve PickleShell adlı ters kabuk (reverse shell) yazılımları ile PS2EXE ile paketlenmiş indiriciler yer alıyor. Araştırmacılar dört farklı bulaştırma zinciri tanımladı: makrolu Word belgeleri, PS2EXE indiriciler, RAR arşivi içinde LNK dosyası ve son olarak Nisan 2026'da WinRAR'daki CVE-2025-8088 açığını istismar eden RAR arşivleri. Bu son zincir, grubun ilk kez bir güvenlik açığını silah olarak kullandığı vaka olarak değerlendiriliyor.

Atıf

Araştırmacılar grubu Kazakistan bağlantılı olarak değerlendiriyor; Talos bu bağlantıyı orta güven düzeyinde görüyor. Grubun YoroTrooper ile aynı geniş kümenin parçası olduğundan şüpheleniliyor, ancak doğrudan bir araç seti örtüşmesi gözlenmediği belirtiliyor. Talos, grubun yeni teslim teknikleri benimsemesinin bölgedeki hükümet kurumlarına yönelik ilginin süreceğine işaret ettiğini ifade ediyor.

Ne yapılmalı?

• WinRAR'ı güncel sürüme yükseltin; eski sürümlerin kurum içinde kalmadığını doğrulayın.
• Kurum dışından gelen RAR/LNK eklerini ve Başlangıç klasörüne bırakılan dosyaları izleyin.
• Diplomatik ve resmî yazışma görünümlü eklerde gönderici hesabının ele geçirilmiş olabileceğini göz önünde bulundurun.
• Talos ve Recorded Future'ın yayımladığı göstergeleri tehdit avı süreçlerinize ekleyin.