Een dreigingsacteur die door onderzoekers Silent Lynx wordt genoemd, is gekoppeld aan een reeks gerichte aanvallen op overheidsorganisaties in de landen van de CIS-regio. De campagnes liepen volgens waarnemingen van juni 2025 tot en met augustus 2026 en gebruiken steeds wisselende “infection chains” om systemen binnen te komen en daarna op afstand te besturen.
Opvallend daarbij is de inzet van een WinRAR-kwetsbaarheid in een later stadium van de aanvalsketen. Daardoor kan kwaadaardige code worden gedropt en kan vervolgens een reverse shell worden opgezet: een manier om interactief toegang te krijgen tot een geïnfecteerde host. In dit artikel zetten we de belangrijkste patronen op een rij, zodat je begrijpt waar je op moet letten.
Wie is Silent Lynx en waarom gaat dit verder dan “een incident”?
Onderzoekers van onder meer Cisco Talos en Recorded Future beschrijven Silent Lynx als een actor met een duidelijke focus op (semi)publieke instellingen. De targeting concentreert zich volgens de analyses in Centraal-Azië en breder in de CIS-regio, met slachtoffers in onder andere Kazachstan, Kirgizië, Tadzjikistan, Turkmenistan, Oezbekistan, Armenië, Azerbeidzjan, Rusland en Wit-Rusland.
De activiteit is niet “één campagne”, maar een doorlopende set van aanvallen met meerdere varianten in de aanloop. Daardoor is het lastig om alleen op één indicator te vertrouwen. Je ziet steeds hetzelfde doel: toegang tot infrastructuur en het opbouwen van aanhoudende controle.
Vier infectieroutes: van macro’s tot RAR-bestanden
De aanvallen worden in de analyses gekoppeld aan vier verschillende pathways. Het idee is steeds: start met een ogenschijnlijk geloofwaardige lure, voer vervolgens een downloader of loader uit, en installeer daarna payloads die remote beheer mogelijk maken.
June 2025: macro’s als startpunt
In juni 2025 starten de ketens met macro-enabled Word-documenten. Daarmee wordt een tweede fase opgehaald en uitgevoerd. Dit past bij een bredere trend waarin documentmacro’s worden gebruikt om initieel code-uitvoering te krijgen.
July 2025: PS2EXE en geplande taken
In juli 2025 duiken downloaders op die met PS2EXE zijn gebouwd. PS2EXE verpakt PowerShell-scripts tot een Windows-uitvoerbaar bestand, zodat de payload makkelijker kan worden gedistribueerd. Vervolgens worden reverse-shell componenten opgehaald en wordt persistence opgebouwd via scheduled tasks.
October 2025: RAR met LNK en GitHub-hosted script
In oktober 2025 wordt gewerkt met een RAR-archief waarin een kwaadaardige shortcut (LNK) is verwerkt om PowerShell te starten. Daarna wordt een script opgehaald dat via GitHub-hosting remote shell-toegang mogelijk maakt. Latere varianten plaatsen payloads in de Windows Startup-map, zodat het gedrag automatisch opnieuw start bij het inloggen.
April 2026: de WinRAR-kwetsbaarheid voor payload drop
In april 2026 komt de WinRAR-kwetsbaarheid duidelijk in beeld. De infectieketen gebruikt een RAR-archief dat misbruik maakt van CVE-2025-8088 om PickleShell in de Windows Startup-map te plaatsen. Dat markeert volgens de onderzoekers de eerste keer dat UAT-6275 (een van de tracking-namen voor de campagnes) een security flaw als onderdeel van de leveringsmethode inzet.
Welke reverse shells gebruiken ze?
In de beschreven campagnes worden meerdere custom reverse shells genoemd, waaronder FoalShell, Chvost, Laplas en PickleShell. Deze componenten stellen de aanvallers in staat om interactief verbinding te maken met gecompromitteerde systemen en commando’s uit te voeren.
Het verschil tussen deze namen is voor defenders vaak minder belangrijk dan het patroon: na initiële toegang wordt snel “bruikbare controle” geïnstalleerd, vaak met persistence op hostniveau.
Lokale lures: diplomatie, handel en energie
Een ander terugkerend kenmerk is de thematische invulling van de lokazen. De e-mails bevatten decoy-documenten rond diplomatie, internationale handel, energie en luchtvaart. Daardoor lijken de berichten op een relevante officiële correspondentie en wordt de drempel verlaagd voor medewerkers om inhoud te openen of bestanden uit te voeren.
Volgens Recorded Future stonden er concrete onderwerpen in de lokazen, zoals een diplomatieke brief gericht aan Armenië’s Ministry of Foreign Affairs, een aanvraagformulier gerelateerd aan het luchtruim van Turkmenistan en een zakelijk voorstel over een olieraffinaderij in Rusland.
Bovendien worden phishingberichten verstuurd vanaf gecompromitteerde overheidsaccounts. Daarmee krijgt de aanval nog extra geloofwaardigheid, omdat het kanaal zelf “legitiem” oogt.
Wat betekent de WinRAR-kwetsbaarheid concreet voor jouw verdediging?
Een misbruik van een decompressie- of verwerkingstool zoals WinRAR wijst op een scenario waarin een slachtoffer een kwaadaardig archief opent of uitpakt. Zodra de kwetsbaarheid getriggerd wordt, kan malware worden neergezet zonder dat je altijd direct een “klassieke” executable ziet.
Daarom is het verstandig om je controles niet alleen te richten op macro’s of phishing in de mailbox, maar ook op het bestandenverkeer rondom archieven. Denk hierbij aan beleid voor het openen van archieven, isolatie van uitpakprocessen waar mogelijk en snelle patching van tooling op endpoints en serveromgevingen.
Wil je breder kijken naar hoe RAR- en archief-gerelateerde aanvallen vaak combineren met andere delivery- en initial-access technieken? Lees dan ook wat Citizen Lab vond over zero-click aanvallen via advertenties. Dat artikel laat zien hoe aanvallers verschillende invoerkanalen benutten om alsnog code-uitvoering te bereiken.
Extra aanwijzingen: staging directories en een PoC elders
Naast de main infection chains vermelden de onderzoekers dat er meerdere publiek toegankelijke staging directories zijn gevonden die verband houden met de actor. Daar stonden Linux-compatibele tooling en zelfs een publiek beschikbare proof-of-concept exploit die refereert aan CVE-2025-25257 (een SQL-injectie in Fortinet FortiWeb).
Dit suggereert volgens de analyses dat de actor mogelijk breder kan opschalen of zijn operationele mogelijkheden aanpast. Of dit direct in dezelfde campagnes is toegepast, wordt niet met harde toolset-overlap bevestigd, maar het wijst wel op een breder arsenaal.
Advies: waar je nu op kunt sturen
Omdat Silent Lynx zich bedient van meerdere routes en verschillende fasen van payload deployment, werkt een “single control” benadering zelden. Zet daarom in op een combinatie van maatregelen:
- Patch en harden van software die vaak in werkstromen zit, inclusief archiveringstools zoals WinRAR.
- Beperk macro-uitvoering en verifieer documentopeningen (zeker bij thema’s die niet passen bij de normale bedrijfscontext).
- Monitor persistence op endpoints, zoals geplande taken en wijzigingen die op Windows Startup-map of vergelijkbare mechanismen wijzen.
- Let op reverse shell gedrag in netwerk- en endpointtelemetrie: ongebruikelijke uitgaande connecties en interactief “beheercode” verkeer.
- Train op lokazen met lokale, officiële onderwerpen: diplomatie, handel, energie en luchtvaart zijn sociaal-technisch overtuigend, vooral als accounts al zijn overgenomen.
Voor een bredere blik op hoe groepen soms misbruik maken van supply-chain of patch-verwante kwesties, is dit relevant: Next.js out-of-band patch: RCE fixes en DoS. Dat artikel gaat weliswaar over een andere softwarelaag, maar de les—snelle beschikbaarheid van updates en het belang van snelle toepassing—blijft hetzelfde.
Conclusie
Silent Lynx gebruikt een combinatie van slimme lokazen, document- en archiefgebaseerde leveringen en vervolgens maatwerk reverse shells om overheidsdoelen in de CIS-regio te compromitteren. De inzet van de WinRAR-kwetsbaarheid (CVE-2025-8088) in april 2026 toont hoe aanvallers steeds nieuwe delivery-technieken toevoegen, in plaats van één aanpak te herhalen.
Voor organisaties is de kernboodschap helder: zorg dat tooling is gepatcht, bewaak ook archiefverwerking en persistence, en behandel (lokale) phishinglures als onderdeel van een bredere aanvalsketen. Alleen dan verklein je de kans dat een ogenschijnlijk “onschuldig” document of RAR-bestand alsnog leidt tot interactieve remote access.
Bron: https://thehackernews.com/2026/10/silent-lynx-exploits-winrar-flaw-to.html
