Silent Lynx khai thác lỗ hổng WinRAR tấn công chính phủ các nước CIS
"The threat actor Silent Lynx (tracked as UAT-6275) has been conducting attacks against government organizations in the CIS region since June 2025. These attacks utilize various infection chains, including exploitation of CVE-2025-8088 in WinRAR to deploy reverse shells like FoalShell, Chvost, Laplas, and PickleShell. The campaign leverages spear-phishing with themed documents and, recently, a WinRAR vulnerability for initial access."
Khai thác CVE-2025-8088 cho phép Silent Lynx có quyền truy cập vào các hệ thống chính phủ, gây ra rủi ro về mất dữ liệu và gián đoạn hoạt động.
Các tổ chức chính phủ có thể bị tổn thất tài chính do chi phí khắc phục hậu quả tấn công, cũng như ảnh hưởng đến uy tín và niềm tin của công chúng.
Kể từ tháng 6/2025, nhóm Silent Lynx (theo dõi là UAT-6275) tấn công các tổ chức chính phủ ở khu vực CIS. Họ sử dụng nhiều chuỗi lây nhiễm, bao gồm khai thác CVE-2025-8088 trong WinRAR để triển khai reverse shell như FoalShell, Chvost, Laplas và PickleShell. Cisco Talos và Recorded Future Insikt Group theo dõi chiến dịch này dưới tên UAT-6275 và TAG-193.
Silent Lynx tập trung vào Trung Á và khu vực CIS rộng lớn hơn, nhắm mục tiêu các nước Kazakhstan, Kyrgyzstan, Tajikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaijan, Nga và Belarus. Các cuộc tấn công sử dụng spear-phishing với tài liệu theo chủ đề, gần đây là lỗ hổng WinRAR để có quyền truy cập ban đầu.
Các chuỗi tấn công bao gồm tài liệu Word có macro, trình tải xuống PS2EXE, PowerShell từ GitHub và kho lưu trữ WinRAR được tạo thủ công khai thác CVE-2025-8088. Tháng 4/2026 đánh dấu lần đầu tiên UAT-6275 sử dụng lỗ hổng bảo mật để phân phối phần mềm độc hại. Họ cũng tìm thấy ba thư mục staging công khai chứa công cụ Linux và proof-of-concept exploit cho CVE-2025-25257, một lỗ hổng SQL injection trong Fortinet FortiWeb.
Silent Lynx được đánh giá là nhóm tấn công có liên kết với Kazakhstan, hoạt động từ năm 2020. Họ có liên quan đến các nhóm khác như YoroTrooper (còn gọi là Comrade Saiga, ShadowSilk, và SturgeonPhisher), ShadowSilk, Cavalry Werewolf và Tomiris. Talos nhận định nhóm sẽ tiếp tục tấn công các tổ chức chính phủ ở Trung Á và CIS, đặc biệt quan tâm đến các cơ quan môi trường, bộ kinh tế và cơ sở hạ tầng năng lượng. [https://blog.talosintelligence.com/silent-lynx-cve-2025-8088/]
Câu hỏi thường gặp
Silent Lynx là ai?
Silent Lynx (UAT-6275) là một nhóm tấn công mạng nhắm mục tiêu các tổ chức chính phủ ở khu vực CIS từ tháng 6/2025. Họ sử dụng nhiều phương pháp tấn công, bao gồm khai thác lỗ hổng WinRAR.
CVE-2025-8088 là gì?
CVE-2025-8088 là một lỗ hổng trong WinRAR mà Silent Lynx đã khai thác để triển khai reverse shell. Việc vá lỗ hổng này là rất quan trọng để ngăn chặn các cuộc tấn công.
Reverse shell là gì?
Reverse shell là một loại shell cho phép kẻ tấn công truy cập và điều khiển từ xa hệ thống bị xâm nhập. Silent Lynx sử dụng các reverse shell như FoalShell, Chvost, Laplas và PickleShell.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Silent Lynx khai thác lỗ hổng WinRAR cho thấy sự linh hoạt trong chiến thuật tấn công. Các doanh nghiệp Việt Nam, đặc biệt là các tổ chức chính phủ, nên kiểm tra kỹ các tệp RAR nhận được qua email và cập nhật WinRAR lên phiên bản mới nhất. Điều đáng chú ý là việc nhóm này nhắm mục tiêu vào các cơ quan năng lượng, điều này có thể liên quan đến các hoạt động thu thập thông tin tình báo về tài nguyên khu vực.