Tehdit aktörü Silent Lynx, Bağımsız Devletler Topluluğu'nda (BDT) hükümet kuruluşlarını hedef alan yeni bir saldırı grubuna bağlandı.
Haziran 2025'ten Ağustos 2026'ya kadar gözlenen faaliyet, makro etkin belgeler, PS2EXE indiriciler, GitHub'da barındırılan PowerShell ve CVE-2025-8088 açığını kullanan hazırlanmış WinRAR arşivleri kullanan dört farklı enfeksiyon zinciri içeriyor.
Cisco Talos ve Recorded Future Insikt Group'un UAT-6275 ve TAG-193 takma adlarıyla izlediği kampanyaya göre saldırılar, tehlikeye atılan ana bilgisayarlara etkileşimli uzaktan erişim sağlayan FoalShell, Chvost, Laplas ve PickleShell gibi özel ters kabukların dağıtımına yol açıyor.
Güvenlik araştırmacısı Ashley Shen, "UAT-6275'in hedeflemesi Orta Asya ve daha geniş BDT bölgesinde yoğunlaşıyor" dedi. "İncelenen kampanyalarda gözlenen mağdurlar ve kancalama temaları dokuz ülkeye yayılıyor: Kazakistan, Kırgızistan, Tacikistan, Türkmenistan, Özbekistan, Ermenistan, Azerbaycan, Rusya ve Belarus."
Silent Lynx ilk kez 2025 başlarında Seqrite Labs tarafından kamuoyuna duyuruldu; tehdit aktörünün Kırgızistan ve Türkmenistan'daki büyükelçilikler, avukatlar, devlet destekli bankalar ve düşünce kuruluşlarına yönelik saldırıları öne çıkarıldı.
En az 2020'den beri aktif olduğu değerlendirilen aktörün Kazakistan bağlantılı olduğu belirtiliyor; YoroTrooper (aka Comrade Saiga, ShadowSilk ve SturgeonPhisher), ShadowSilk, Cavalry Werewolf ve Tomiris kod adlı diğer kümelerle örtüşmeler paylaşıyor.
UAT-6275 ve YoroTrooper'ın aynı daha geniş faaliyet kümesinin parçası olduğundan şüpheleniliyor, ancak ikisi arasında doğrudan gösterge veya araç seti örtüşmesi gözlenmedi.
Bu yılın başlarında VMRay, Aralık 2024'ten bu yana izlediği Hydra Saiga tehdit kümesinin 8 ülkede en az 34 kuruluşu tehlikeye attığını açıkladı; keşif çalışmaları dünya genelinde 200'den fazla ek hedefe ulaştı.
Comrade Saiga ve Hydra Saiga'nın aynı tehdit aktörüne atıf yaptığı belirtiliyor. Takip takma adındaki "hydra" öneki, düşmanın Orta Asya'daki su kaynaklarıyla bağlantılı altyapıyı, Rust, Go ve Python ile yazılmış özel implantlar ve Living-off-the-Land teknikleri karışımı kullanarak ihlal etmeye yoğun odaklanmasına gönderme yapıyor.
Tehdit aktörünün kurduğu saldırı zincirleri, diplomatik ilişkiler, uluslararası ticaret, enerji ve havacılık temalı kancalama belgeleri içeren spear-phishing e-postalarının kullanılmasını içeriyor. Ocak 2025 ile Mayıs 2026 arasında bölgede en az sekiz kampanya tespit edildi.
Phishing e-postaları tehlikeye atılmış hükümet hesaplarından gönderiliyor ve sosyal mühendislik saldırısına güvenilirlik görünümü kazandırmak için resmi görünümlü belgeler kullanıyor. Recorded Future, "Tespit edilen kancalar arasında Ermenistan Dışişleri Bakanlığı'na hitaben yazılmış diplomatik bir mektup, Türkmenistan hava sahası başvuru formu ve Rusya'nın Orsk Petrol Rafinerisi ile ilgili bir iş teklifi yer aldı" dedi.
Ayrıca tehdit aktörüne bağlı üç kamuya açık hazırlık dizininin Linux uyumlu araçlar ve Fortinet FortiWeb'deki SQL enjeksiyon açığı CVE-2025-25257 için kamuya açık bir kanıt-of-konsept istismarını barındırdığı bulundu; bu durum tehdit aktörünün operasyonel yeteneklerinin muhtemel genişlemesine işaret ediyor.
Enfeksiyon dizilerinin dört farklı yol kullandığı tespit edildi:
Haziran 2025 - İkinci aşama ikili dosyasını indirmek ve çalıştırmak için makro etkin Word belgeleri kullanılması.
Temmuz 2025 - Ters kabuk yüklerini almak ve kalıcılık için zamanlanmış görevler oluşturmak amacıyla PowerShell betiklerini Windows çalıştırılabilirleri olarak paketleyen bir araç olan PS2EXE ile oluşturulmuş indiricilerin kullanılması.
Ekim 2025 - Uzaktan kabuk erişimi sağlayan GitHub'da barındırılan bir betiği almak ve çalıştırmaktan sorumlu PowerShell'i başlatmak için RAR arşivi içindeki kötü amaçlı bir kısayol (LNK) kullanılması. Sonraki yinelemeler ayrıca PickleShell'i indirip Windows Başlat menüsü klasörüne yerleştiriyor; böylece kullanıcı sisteme her giriş yaptığında otomatik olarak başlatılıyor.
Nisan 2026 - WinRAR açığını (CVE-2025-8088) kullanan bir RAR arşiviyle PickleShell'in Windows Başlat menüsü klasörüne bırakılması.
Nisan 2026 enfeksiyon zinciri, UAT-6275'in kötü yazılım dağıtım yöntemlerinin bir parçası olarak bir güvenlik açığını silahlandırdığı ilk kez.
Talos, "UAT-6275'in sürdürülen faaliyeti ve yeni dağıtım tekniklerini benimsemesi, grubun Orta Asya ve BDT genelinde hükümet kuruluşlarına erişim peşinde koşmaya devam edeceğini gösteriyor" dedi. "Çevre ajansları, ekonomi bakanlıkları ve enerji altyapısına olan ilgisi, bölgesel diplomasi ve kaynak yönetiminin istihbarat değerini yansıtıyor."
