Silent Lynx (UAT-6275) ataca governos da CEI via falha do WinRAR

Um grupo de espionagem que atua contra governos do leste europeu e da Ásia Central deixou boa parte da sua operação à vista. Em 14 de outubro de 2026, a Cisco Talos publicou uma análise do ator que rastreia como UAT-6275 — conhecido publicamente como Silent Lynx e rastreado pelo Insikt Group da Recorded Future como TAG-193 — reconstruída a partir de diretórios de teste expostos na internet e de um repositório no GitHub que o próprio grupo usava para hospedar scripts e cargas.

O levantamento, assinado pela pesquisadora Chi-en (Ashley) Shen em trabalho conjunto com Julian-Ferdinand Vögele, da Recorded Future, cobre atividade observada de junho de 2025 a agosto de 2026 e identifica pelo menos oito campanhas até maio de 2026. O ponto mais relevante para quem defende redes corporativas não é o perfil diplomático dos alvos, e sim uma mudança de método: em abril de 2026, pela primeira vez, o grupo passou a explorar uma vulnerabilidade de software na entrega do malware.

Quem é o alvo e por quê

As vítimas e os temas usados como isca abrangem nove países: Cazaquistão, Quirguistão, Tadjiquistão, Turcomenistão, Uzbequistão, Armênia, Azerbaijão, Rússia e Belarus. Dentro desses países, o foco recai sobre órgãos ligados a diplomacia, desenvolvimento econômico, agricultura e gestão ambiental — ou seja, instituições que concentram informação sobre negociações, planejamento econômico e recursos naturais.

Há um padrão temático claro em torno de água e energia. Um dos documentos-isca, de agosto de 2025, se passava por comunicação da estatal turcomana Turkmennebit propondo cooperação com a refinaria russa de Orsk. Outro episódio, de maio de 2026, explorava a iniciativa uzbeque de silvicultura inteligente (Smart Forestry). A Talos avalia que esse interesse pode refletir efeitos regionais da guerra entre Rússia e Ucrânia.

A sincronia com a agenda diplomática chama atenção. Segundo os pesquisadores, atividade contra uma entidade governamental do Tadjiquistão ocorreu em março de 2026, pouco depois de discussões de tratado com o Cazaquistão, e contra um órgão de Belarus em abril de 2026, às vésperas de uma reunião bilateral. O Insikt Group resume o raciocínio: essas organizações “detêm informação capaz de orientar negociações, planejamento econômico e decisões de segurança regional”. Vale frisar o que os relatórios não afirmam: não há demonstração pública de que dados específicos tenham sido obtidos nessas intrusões.

Quatro cadeias de infecção, da macro ao exploit

O relatório organiza a evolução do grupo em quatro cadeias, nomeadas de A a D. A progressão é instrutiva porque mostra um ator de recursos modestos refinando a entrega sem trocar de estratégia central — o phishing, muitas vezes enviado de contas governamentais legítimas já comprometidas.

• Cadeia A (junho de 2025): documentos do Word com macros habilitadas baixam e executam um binário de segundo estágio.
• Cadeia B (julho de 2025): baixadores compilados com PS2EXE buscam shells reversos e criam tarefas agendadas para persistência.
• Cadeia C (outubro de 2025): um atalho malicioso dispara o PowerShell, que busca e executa um script hospedado no GitHub para acesso remoto; amostras posteriores também gravam o PickleShell na pasta de inicialização.
• Cadeia D (abril de 2026): um arquivo RAR que explora a CVE-2025-8088 no WinRAR coloca o PickleShell na pasta de inicialização, executando-o no próximo login.

A CVE-2025-8088 é uma falha de travessia de diretório na versão Windows do WinRAR que permite execução de código arbitrário por meio de arquivos compactados maliciosos. Tem nota básica CVSS v3.1 de 8,8 (alta), vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, afeta versões anteriores à 7.13 e foi publicada em 8 de agosto de 2025. Já tinha histórico de exploração: entrou no catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA em 12 de agosto de 2025, com prazo de correção em 2 de setembro de 2025, e foi usada por outros grupos — o Plugged Ninja cobriu o caso em campanhas russas contra a Ucrânia.

Na prática, isso significa que a Cadeia D não demanda sofisticação ofensiva: ela aproveita um parque desatualizado de utilitários de compactação, software que raramente entra nos ciclos de atualização corporativos porque é instalado por usuário e não aparece em inventários focados em sistema operacional e navegador.

Arsenal e infraestrutura expostos

O conjunto de ferramentas é deliberadamente simples: shells reversos leves e próprios, identificados como Chvost, Laplas e PickleShell — com FoalShell também atribuído ao grupo em coberturas anteriores. São implantes que entregam acesso interativo ao host, sem o aparato de um framework comercial de pós-exploração.

O que torna este relatório incomum é a falha operacional do próprio atacante. Os pesquisadores localizaram três diretórios de preparação acessíveis publicamente, contendo malware e ferramentas, e um repositório do GitHub até então não documentado. O histórico de commits desse repositório expôs mudanças de infraestrutura e o desenvolvimento do malware ao longo do tempo — inclusive a cronologia que sustenta parte da atribuição.

Entre os arquivos recuperados havia indícios de preparação para operações pós-comprometimento, com ferramental compatível com Linux e uma prova de conceito pública para a CVE-2025-25257, falha de injeção de SQL no Fortinet FortiWeb. Aqui cabe uma distinção que costuma se perder nas manchetes: a presença de um exploit na infraestrutura do grupo indica intenção ou teste, não exploração confirmada em uma intrusão real. A Talos não relata uso dessa falha contra vítimas.

Silent Lynx e a hipótese do Cazaquistão

A avaliação de que há um nexo com o Cazaquistão é feita com confiança média, e os critérios estão declarados. Pesam a favor: artefatos em língua russa no malware; submissões aparentes de teste de malware a partir do Cazaquistão pouco depois da compilação; e um padrão de horário de trabalho consistente com UTC+5, derivado do horário de 77 commits no GitHub, distribuídos entre UTC+3 e UTC+5. Somam-se a isso os interesses regionais de coleta.

O grupo se insere num aglomerado maior de atividade. A Talos associa o UAT-6275 ao conjunto ligado ao YoroTrooper, que a própria empresa reportou pela primeira vez em 2023, e avalia que provavelmente pertencem ao mesmo cluster amplo — mas mantém o rastreamento separado porque não observou sobreposição direta de indicadores ou de ferramental. Outras empresas descrevem atividades com indicadores sobrepostos sob nomes diferentes: Tomiris (Kaspersky), ShadowSilk (Group-IB), Cavalry Werewolf (BI.ZONE) e Hydra Saiga (VMRay). O Silent Lynx foi documentado inicialmente pela Seqrite em janeiro de 2025.

Essa profusão de nomes é um lembrete útil: “grupo” é uma abstração analítica construída sobre indicadores, não uma entidade com crachá. Mudanças de nomenclatura entre fornecedores não significam, por si, novas campanhas.

Cobertura de detecção e o que fazer

A Talos publicou assinaturas e regras com a análise. No ClamAV, foram liberadas as detecções Win.Backdoor.PickleShell-10060602-0, Win.Backdoor.Chvost-10060603-0, Win.Malware.LAPLAS-10060605-0 e Win.Malware.LAPLAS-10060606-0, entre outras. No Snort, as regras 1:11192, 1:15306, 1:46983 e 1:47398 (Snort 2) e 1:46983 e 4:16 (Snort 3). Os indicadores completos foram publicados no repositório público de IOCs da Talos e no artigo apresentado na conferência Virus Bulletin 2026, realizada em Sevilha entre 14 e 16 de outubro.

Para equipes de defesa, as medidas mais diretas são:

• Atualizar utilitários de arquivamento, WinRAR em primeiro lugar, para a versão 7.13 ou superior, tratando-os como software crítico de inventário;
• monitorar execução inesperada de PowerShell, em especial downloads de serviços públicos legítimos como o GitHub, que o grupo usa como repositório de cargas;
• vigiar criação de tarefas agendadas e alterações na pasta de inicialização do usuário, mecanismos de persistência das cadeias B, C e D;
• revisar a exposição de appliances acessíveis pela internet, como o FortiWeb, e confirmar a aplicação de correções para a CVE-2025-25257;
• tratar com cautela mensagens vindas de contas governamentais legítimas, já que parte do phishing partiu de caixas comprometidas — autenticação de remetente não vale como garantia de legitimidade do conteúdo.

Conclusão

O UAT-6275 não é um adversário tecnicamente impressionante. É um adversário persistente, barato e bem informado sobre a agenda política da sua região, que opera com shells reversos próprios, hospedagem em serviços legítimos e, agora, exploração de uma falha de alta gravidade em um utilitário presente em praticamente todo parque Windows. Essa combinação costuma ser mais eficaz contra organizações de porte médio do que exploits inéditos.

O que observar a seguir são dois movimentos. O primeiro é se a adoção de exploits se consolida — a Cadeia D pode ser experiência isolada ou início de padrão. O segundo é se o ferramental Linux encontrado na infraestrutura aparece em intrusões reais, o que ampliaria o alcance do grupo para servidores e appliances de borda, terreno em que outros atores já atuam, como mostrou a campanha de espionagem contra servidores Linux governamentais documentada neste mês. Enquanto isso, a lição imediata é prosaica: manter o WinRAR atualizado.

Fontes e referências

• Cisco Talos — Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations
• The Record (Recorded Future News) — Suspected Kazakhstan-linked hackers target governments across former Soviet states
• The Hacker News — Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks
• NVD / NIST — CVE-2025-8088 (WinRAR, travessia de diretório)
• Virus Bulletin 2026 — Break the Silence: Tracking Silent Lynx Through Exposed Infrastructure (PDF)