RUENЗагрузить файл
Новости · Безопасность файлов

Silent Lynx использует давно закрытую уязвимость WinRAR для атак на госорганы 9 стран СНГ

Cisco Talos совместно с Recorded Future раскрыла кампанию группы, которую Talos отслеживает как UAT-6275, а Recorded Future — как TAG-193 (она пересекается с ранее описанной Silent Lynx). С июня 2025 по август 2026 года группа атаковала правительственные организации Казахстана, Киргизии, Таджикистана, Туркменистана, Узбекистана, Армении, Азербайджана, России и Беларуси — используя четыре разные цепочки заражения. В одной из них — RAR-архив, который эксплуатирует уязвимость path traversal WinRAR CVE-2025-8088, закрытую ещё в июле 2025 года, но до сих пор рабочую против необновлённых архиваторов.

17 октября 2026 Редакция LoadFile Чтение 6 мин
Расколотая иконка RAR-архива, из которой через брешь тянется вредоносный код

Коротко: Cisco Talos и Recorded Future раскрыли кампанию кибершпионажа UAT-6275 (она же TAG-193 / Silent Lynx) против госорганов девяти стран СНГ — от Казахстана до Беларуси. Группа использует четыре разные цепочки заражения: от макросов в Word-документах до вредоносных ярлыков с PowerShell. В апреле 2026 года в арсенал добавился RAR-архив, эксплуатирующий уязвимость path traversal WinRAR CVE-2025-8088 через NTFS alternate data streams — он незаметно кладёт reverse shell PickleShell в папку автозагрузки Windows, и вредонос запускается при следующем входе жертвы. Уязвимость исправлена в WinRAR 7.13 ещё 30 июля 2025 года: атака работает только против архиваторов, которые не обновляли больше года.

Что произошло

Cisco Talos опубликовала отчёт об активности группы UAT-6275 — она пересекается с ранее описанной индийской компанией Seqrite кампанией Silent Lynx и с группой TAG-193, которую параллельно отслеживает Recorded Future. Исследование охватывает период с июня 2025 по август 2026 года. По оценке Talos со «средней уверенностью», у группы есть казахстанский след: исследователи опираются на русскоязычные артефакты в коде, время отправки образцов вредоноса на антивирусные сканеры вскоре после компиляции, рабочую активность в часовом поясе UTC+5 и региональный фокус целей.

Жертвы — государственные учреждения, отвечающие за дипломатию, экономическое развитие, управление водными и лесными ресурсами, а также энергетические структуры в Казахстане, Киргизии, Таджикистане, Туркменистане, Узбекистане, Армении, Азербайджане, России и Беларуси. Среди целей — дипломатические представительства и организации гражданского общества.

Четыре цепочки заражения — от макросов до WinRAR

Talos описывает четыре разных способа, которыми UAT-6275 доставляет вредонос на компьютеры жертв; они появлялись последовательно по мере развития кампании.

ПериодЦепочкаМеханика
Июнь 2025Цепь AМакросы в Word-документах загружают вредонос второй стадии
Июль 2025Цепь BPS2EXE-упаковщик превращает PowerShell-скрипт в exe-файл, создаёт запланированную задачу
Октябрь 2025Цепь CВредоносный ярлык (LNK) запускает PowerShell, который подгружает скрипты, размещённые на GitHub
Апрель 2026Цепь DRAR-архив эксплуатирует CVE-2025-8088 в WinRAR для записи файла в папку автозагрузки

Самая интересная для читателей Loadfile — именно цепь D: она не требует от жертвы ничего, кроме открытия на первый взгляд обычного архива.

Как работает эксплуатация CVE-2025-8088

CVE-2025-8088 — это уязвимость path traversal в WinRAR для Windows, которую в середине июля 2025 года обнаружила компания ESET; разработчик RARLAB закрыл её в версии WinRAR 7.13, вышедшей 30 июля 2025 года. Суть бреши — в обработке NTFS alternate data streams (ADS, альтернативных потоков данных файловой системы): специально сформированный RAR-архив может указать путь, который заставляет WinRAR записать вложенный файл не в выбранную пользователем папку распаковки, а в произвольное место на диске — например, в папку автозагрузки Windows.

По данным Talos, «в апреле 2026 года RAR-архив эксплуатировал CVE-2025-8088 в WinRAR, чтобы разместить PickleShell в папке Windows Startup для выполнения при следующем входе пользователя». Жертве для заражения достаточно один раз открыть и распаковать архив — она видит лишь приманку-документ, тогда как вредонос незаметно оседает в системе и активируется уже после перезагрузки или повторного входа, без дополнительных действий со стороны пользователя.

Основной обнаруженный вредонос — PickleShell, reverse shell, который даёт атакующим интерактивный удалённый доступ к заражённой системе. Это тот же класс брешей, что уже не раз описывался в нашей новостной ленте применительно к другим архиваторам: смотрите, например, материал про обход Mark of the Web в RAR5-архивах.

!
Почему старая, уже закрытая уязвимость всё ещё опасна

WinRAR не умеет автообновляться через системный апдейтер Windows — пользователь должен скачать и установить новую версию вручную. Спустя больше года после выхода патча 7.13 значительная часть инсталляций в госсекторе и корпоративной среде по-прежнему остаётся на уязвимых сборках, и именно на это рассчитывает кампания UAT-6275.

Что делать

Если вы администрируете компьютеры в организации, на которую может быть нацелена подобная кампания — госсектор, дипломатия, энергетика, НКО в регионе СНГ, — в первую очередь проверьте версию WinRAR на рабочих станциях: нужна 7.13 или новее. Актуальную версию и инструкции по установке можно найти на странице обзора форматов файлов и в наших материалах об архивах.

Talos рекомендует дополнительно мониторить: неожиданную активность PowerShell (особенно запуск с параметрами, скачивающими скрипты из интернета), загрузки с публичных сервисов вроде GitHub, создание новых запланированных задач и любые изменения содержимого папки автозагрузки Windows (Startup). Перед тем как распаковывать архив из непроверенного письма, стоит явно проверить тип вложенных файлов — например, через определение формата файла по сигнатуре, а не доверять расширению или иконке. Общий список опасных типов вложений — в нашем гиде по опасным расширениям файлов.

Источники

Смотрите также: раздел «Безопасность файлов» — как проверять архивы и вложения перед открытием.

Читайте также