Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks

1 minute de lecture

Mis à jour :

Silent Lynx : Cyberespionnage contre les gouvernements de la CEI

Le groupe de menace Silent Lynx (également suivi sous les alias UAT-6275 et TAG-193) mène depuis 2025 des campagnes d’espionnage sophistiquées ciblant des organisations gouvernementales, diplomatiques et énergétiques dans neuf pays de la région de la Communauté des États indépendants (CEI). Ce groupe, actif depuis 2020 et lié à d’autres clusters (tels que YoroTrooper et ShadowSilk), se spécialise dans le vol d’informations via des accès distants persistants.

Points clés :

  • Mode opératoire : Utilisation intensive d’attaques par hameçonnage (spear-phishing) utilisant des documents leurres thématiques (diplomatie, énergie, aviation) envoyés depuis des comptes gouvernementaux compromis.
  • Infrastructure : Le groupe déploie des shells inversés personnalisés (FoalShell, Chvost, Laplas, PickleShell) pour maintenir un contrôle interactif sur les machines infectées.
  • Évolution : Passage récent à l’exploitation de vulnérabilités logicielles pour automatiser le déploiement de malwares, marquant une montée en puissance de leurs capacités techniques.
  • Cibles : Intérêt marqué pour les infrastructures critiques, notamment les ressources en eau, l’énergie et les ministères économiques.

Vulnérabilités exploitées :

  • CVE-2025-8088 : Faille critique dans WinRAR utilisée pour déposer des charges malveillantes (PickleShell) dans le dossier de démarrage Windows.
  • CVE-2025-25257 : Injection SQL dans Fortinet FortiWeb (preuve de concept identifiée dans les répertoires du groupe, suggérant une extension des capacités d’attaque).

Recommandations :

  • Mise à jour logicielle : Appliquer immédiatement les correctifs pour WinRAR (CVE-2025-8088) et Fortinet FortiWeb (CVE-2025-25257).
  • Renforcement de la messagerie : Sensibiliser le personnel aux e-mails provenant de sources officielles suspectes et mettre en place des outils d’analyse avancée des pièces jointes.
  • Monitoring système : Surveiller les dossiers de démarrage (“Startup”) et les tâches planifiées inhabituelles, vecteurs privilégiés par le groupe pour assurer la persistance.
  • Gestion des accès : Restreindre l’utilisation de PowerShell et de scripts macro dans les environnements bureautiques via des politiques de contrôle d’application (AppLocker ou solutions EDR).

Source

Vous pourriez aimer