Silent Lynx ataca gobiernos de la CEI mediante una vulnerabilidad en WinRAR
El grupo de amenazas Silent Lynx utilizó una vulnerabilidad en WinRAR para desplegar shells inversas en ataques contra entidades gubernamentales de la CEI. Estas campañas multietapa emplearon diversas técnicas, incluyendo documentos maliciosos y scripts de PowerShell.
Resumen
- Silent Lynx atacó gobiernos de la CEI usando una falla en WinRAR para desplegar shells inversas.
- Los ataques se extendieron desde junio de 2025 hasta agosto de 2026.
- Las cadenas de infección incluyeron documentos con macros, descargadores PS2EXE y PowerShell alojado en GitHub.
- Archivos WinRAR manipulados fueron clave en la infiltración inicial.
- Las organizaciones deben actualizar WinRAR y monitorear el uso sospechoso de archivos comprimidos.
Un actor de amenazas sofisticado conocido como Silent Lynx ha estado dirigiendo activamente sus ataques contra instituciones gubernamentales dentro de la Comunidad de Estados Independientes (CEI) desde mediados de 2025. Aprovechando una crítica vulnerabilidad en WinRAR, el grupo desplegó shells inversas para obtener acceso persistente a redes de alto valor. Los investigadores de seguridad han rastreado múltiples vectores de infección utilizados en estas campañas, revelando un conjunto diverso de herramientas diseñadas para evadir la detección.
Estas operaciones demuestran la relevancia continua de las vulnerabilidades antiguas cuando no se parchean en entornos empresariales. Los atacantes combinaron ingeniería social con explotación técnica, comenzando frecuentemente su intrusión con documentos maliciosos antes de escalar privilegios mediante cargas útiles secundarias alojadas en plataformas legítimas como GitHub.
Vectores y Técnicas de Ataque
- El acceso inicial se obtuvo principalmente a través de archivos comprimidos WinRAR manipulados que explotaban una falla de corrupción de memoria.
- Se utilizaron documentos de Microsoft Office habilitados para macros para ejecutar cargas útiles de primera etapa.
- Descargadores basados en PS2EXE ayudaron a ocultar scripts maliciosos de PowerShell durante la entrega.
- Repositorios de GitHub alojaron módulos codificados de PowerShell para evitar análisis estáticos.
- Cada campaña empleó mecanismos únicos de preparación para reducir el riesgo de detección basada en firmas.
Recomendaciones Defensivas
- Asegúrese de actualizar todas las versiones de WinRAR a la última versión parcheada inmediatamente.
- Bloquee la ejecución de macros provenientes de fuentes externas e imponga políticas de listas blancas de aplicaciones.
- Monitoree el tráfico de red en busca de actividad anómala de PowerShell o conexiones a repositorios públicos de código.
- Implemente reglas de filtrado de correo electrónico para detectar y poner en cuarentena adjuntos sospechosos en formato comprimido.
- Realice ejercicios regulares de equipo rojo simulando escenarios similares de ataque multivector.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.