Silent Lynx colpisce i governi CIS: exploit WinRAR CVE-2025-8088 e reverse shell per spionaggio in Asia Centrale

Una nuova campagna di cyber spionaggio attribuita al gruppo Silent Lynx sta colpendo organizzazioni governative nell’area CIS, con un focus marcato sull’Asia Centrale. L’attività osservata tra giugno 2025 e agosto 2026 mostra una forte capacità di adattamento e l’uso di più catene di infezione che combinano phishing mirato, documenti esca credibili e strumenti pensati per ottenere accesso remoto interattivo ai sistemi Windows.

Il punto più critico riguarda lo sfruttamento di una vulnerabilità di WinRAR identificata come CVE 2025 8088. Attraverso archivi RAR appositamente predisposti, gli attaccanti riescono a rilasciare il payload nella cartella di avvio di Windows, garantendo persistenza al riavvio e all’accesso dell’utente. Il malware usato in questa fase include PickleShell, una reverse shell personalizzata che consente il controllo remoto della macchina compromessa. In altre varianti della campagna compaiono anche FoalShell, Chvost e Laplas, tutte pensate per offrire una shell remota e facilitare movimenti successivi.

Le tecniche di iniziale compromissione variano nel tempo:

• Prima fase: vengono impiegati documenti Word con macro abilitate per scaricare ed eseguire un secondo stadio.
• Fase successiva: compaiono downloader creati con PS2EXE, utili a trasformare script PowerShell in eseguibili Windows, con l’obiettivo di recuperare i payload e creare attività pianificate per la persistenza.
• Altra catena: sfrutta collegamenti LNK malevoli inseriti in archivi RAR per avviare PowerShell e scaricare script ospitati su GitHub, riducendo la necessità di infrastrutture complesse e rendendo più difficile il blocco immediato.

Le esche di spear phishing sono costruite su temi ad alto valore informativo come relazioni diplomatiche, commercio internazionale, energia e aviazione. In diversi casi le email provengono da account governativi compromessi, aumentando la credibilità e la probabilità di apertura degli allegati. Sono stati inoltre individuati indizi di espansione delle capacità operative, con directory di staging accessibili pubblicamente e riferimenti a strumenti anche per ambienti Linux, oltre a materiale legato a una falla di SQL injection in Fortinet FortiWeb.