Silent Lynx ataca governos da CEI por meio de exploração no WinRAR
O grupo de ameaça Silent Lynx utilizou uma vulnerabilidade do WinRAR para implantar shells reversas em ataques contra entidades governamentais da CEI. Essas campanhas multietapas utilizaram diversas técnicas, incluindo documentos maliciosos e scripts PowerShell.
TL;DR
- Silent Lynx atacou governos da CEI usando uma falha no WinRAR para implantar shell reversa.
- Os ataques ocorreram entre junho de 2025 e agosto de 2026.
- As cadeias de infecção incluíram documentos com macro, downloaders PS2EXE e PowerShell hospedado no GitHub.
- Arquivos compactados do WinRAR manipulados foram centrais na comprometimento inicial.
- Organizações devem aplicar patches no WinRAR e monitorar uso suspeito de arquivos compactados.
Um ator de ameaça sofisticado conhecido como Silent Lynx tem ativamente mirado instituições governamentais dentro da Comunidade dos Estados Independentes (CEI) desde meados de 2025. Aproveitando uma vulnerabilidade crítica no WinRAR, o grupo implantou shells reversas para obter acesso persistente a redes de alto valor. Pesquisadores de segurança rastrearam múltiplos vetores de infecção usados nessas campanhas, revelando um conjunto diversificado de ferramentas projetadas para evitar detecção.
Essas operações demonstram a relevância contínua de vulnerabilidades legadas quando deixadas sem correção em ambientes corporativos. Os atacantes combinaram engenharia social com exploração técnica, frequentemente iniciando sua intrusão com documentos maliciosos antes de escalar privilégios através de payloads secundários hospedados em plataformas legítimas como o GitHub.
Vetores de Ataque e Técnicas
- O acesso inicial foi obtido principalmente por meio de arquivos compactados do WinRAR especialmente criados que exploravam uma falha de corrupção de memória.
- Documentos do Microsoft Office habilitados para macros foram usados para executar payloads da primeira etapa.
- Downloaders baseados em PS2EXE ajudaram a ocultar scripts PowerShell maliciosos durante a entrega.
- Repositórios do GitHub hospedaram módulos PowerShell codificados para evitar análise estática.
- Cada campanha empregou mecanismos únicos de preparação para reduzir o risco de detecção baseada em assinaturas.
Recomendações Defensivas
- Certifique-se de atualizar todas as versões do WinRAR para a mais recente versão corrigida imediatamente.
- Bloqueie a execução de macros provenientes de fontes externas e aplique políticas de lista branca de aplicações.
- Monitore o tráfego de rede em busca de atividades incomuns do PowerShell ou conexões com repositórios públicos de código.
- Implemente regras de filtragem de e-mail para detectar e quarentenar anexos suspeitos de arquivos compactados.
- Realize exercícios regulares de red team simulando cenários similares de ataques multivetoriais.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.