Новости Кибершпионская группа атаковала государственные сети в СНГ

[vitel59]

Исследователи из Cisco Talos и Recorded Future связали кибершпионскую группировку Silent Lynx (также отслеживается как UAT-6275 и TAG-193) с серией атак на государственные сети стран СНГ. По оценке исследователей, группировка с средней степенью уверенности действует с территории Казахстана.

Кого и зачем атаковали​

Кампания охватила как минимум девять стран: Россию, Беларусь, Армению, Узбекистан, Таджикистан, Туркменистан, Кыргызстан, Азербайджан и Казахстан. Группировка проявляла особый интерес к ведомствам, отвечающим за иностранные дела, экономическое развитие, сельское хозяйство, экологию и управление природными ресурсами, а также к информации о региональных энергопоставках и водных ресурсах.

Исследователи зафиксировали как минимум восемь кампаний в период с января 2025 по май 2026 года. Среди целей:

Российский НПЗ в Орске и администрация Нижнего Новгорода.
Госучреждение Таджикистана — атака совпала по времени с ратификацией договора между Казахстаном и Таджикистаном в начале 2026 года.
Госучреждение Беларуси — накануне встречи дипломатов Беларуси и Казахстана в апреле.
МИД Армении — в апреле 2026 года с использованием эксплойта для WinRAR.

​

Почему считают, что группа связана с Казахстаном​

Среди доказательств, указывающих на казахстанское происхождение:

Тестирование вредоносного ПО с территории Казахстана вскоре после компиляции кода.
Активность, совпадающая с рабочими часами в казахстанском часовом поясе.
Стратегическая выгода: кибератаки совпадали с дипломатическими событиями, важными для Казахстана.

​

Технические детали​

Группировка использует фишинговые письма с официально выглядящими вложениями (дипломатическая переписка, авиационные формы, бизнес-предложения). В апреле 2026 года впервые была замечена эксплуатация уязвимости CVE-2025-8088 в WinRAR (path traversal, CVSS 8.4), позволяющей размещать полезную нагрузку в папке автозагрузки Windows. Для хранения вредоносных скриптов использовался GitHub, чтобы сливаться с легитимной активностью.

 

[ForumOK]

История очень показательная: интерес не к случайным целям, а к вполне конкретным темам — дипломатия, ресурсы, энергетика, вода, межгосударственные соглашения. По такому набору приоритетов это больше похоже не на обычный киберкриминал, а именно на системную разведывательную работу под внешнеполитические задачи.

Особенно любопытно, что тайминг атак завязан на переговоры и ратификации. Такой контекст обычно говорит больше, чем просто IP, часовые пояса и тестовые запуски. Хотя атрибуция “средней уверенности” — это все равно не приговор, потому что рабочие часы и инфраструктуру при желании можно подделывать.

Использование GitHub и документов “под официальный стиль” — уже почти стандарт для таких кампаний. А вот эксплуатация WinRAR через автозагрузку выглядит неприятно именно потому, что цепочка заражения для жертвы получается довольно правдоподобной: получил архив, открыл, дальше все происходит почти незаметно.

Отдельно настораживает география. Фактически бьют по всему региону, где много пересекающихся интересов по воде, энергии и дипломатии. Значит, ставка делается не на разовую операцию, а на постоянный сбор чувствительной информации. Для госструктур СНГ это еще одно напоминание, что “обычный” фишинг с вложением все еще работает слишком хорошо.