WinRAR-Schwachstelle CVE-2025-8088 zum Einschleusen von PickleShell genutzt
Die WinRAR-Schwachstelle CVE-2025-8088 wurde vom unter dem Namen Silent Lynx bekannten threat actor genutzt, um PickleShell auf gezielt ausgewählten Windows-Computern zu installieren. Cisco Talos und die Insikt Group von Recorded Future beobachteten die umfassenderen Aktivitäten von Juni 2025 bis August 2026 und identifizierten vier Infektionswege, an denen schädliche Dokumente, PowerShell-basierte Downloader, auf GitHub gehosteter Code und speziell präparierte RAR-Archive beteiligt waren.
Die Angriffe installierten letztlich FoalShell, Chvost, Laplas oder PickleShell. Dabei handelt es sich um eigens entwickelte reverse shell-Programme, mit denen ein externer Angreifer aus der Ferne mit einem kompromittierten Computer interagieren kann. Cisco Talos verfolgt die Aktivitäten unter der Bezeichnung UAT-6275, während Recorded Future den Namen TAG-193 verwendet. Die Forscher stellten fest, dass die Ziele vor allem in Zentralasien und im weiteren Gebiet der Commonwealth of Independent States (CIS) lagen. Die Opfer oder die Themen der zugehörigen Köder umfassten Kasachstan, Kirgisistan, Tadschikistan, Turkmenistan, Usbekistan, Armenien, Aserbaidschan, Russland und Belarus.
Seqrite Labs berichtete Anfang 2025 erstmals öffentlich über Silent Lynx und dokumentierte Angriffe auf Botschaften, Anwälte, staatlich unterstützte Banken und Denkfabriken in Kirgisistan und Turkmenistan. Nach Einschätzung der Forscher unterhält die Gruppe Verbindungen zu Kasachstan und ist mindestens seit 2020 aktiv. Ihre Aktivitäten wurden mit Beobachtungsgruppen und Aliasnamen wie YoroTrooper, Comrade Saiga, ShadowSilk, SturgeonPhisher, Cavalry Werewolf und Tomiris in Verbindung gebracht. UAT-6275 und YoroTrooper gehören vermutlich zu einem größeren gemeinsamen Cluster, doch die Forscher haben keine direkten Überschneidungen bei ihren Tools oder technischen Indikatoren beobachtet.
VMRay berichtete unabhängig davon, dass Hydra Saiga, eine weitere Bezeichnung für den als Comrade Saiga verfolgten Akteur, seit Dezember 2024 mindestens 34 Organisationen in acht Ländern kompromittiert hatte. Die Reconnaissance, also das Sammeln von Informationen vor einem möglichen Angriff, erstreckte sich auf mehr als 200 weitere Ziele weltweit. Der Name Hydra verweist auf den Schwerpunkt des Akteurs auf Infrastruktur, die mit den Wasserressourcen Zentralasiens verbunden ist. Bei seinen Operationen kombinierte er eigens entwickelte, in Rust, Go und Python geschriebene Implants mit Living-off-the-Land-Techniken, bei denen legitime, bereits auf einem Computer installierte Tools für einen Angriff missbraucht werden.
In der gesamten Region identifizierten die Forscher zwischen Januar 2025 und Mai 2026 mindestens acht Kampagnen. Spear-phishing-Nachrichten, also täuschende E-Mails, die auf einen bestimmten Empfänger zugeschnitten sind, verwendeten Betreffzeilen zu diplomatischen Beziehungen, internationalem Handel, Energie und Luftfahrt. Einige Nachrichten wurden über zuvor kompromittierte Regierungskonten verschickt und enthielten Dokumente, die offiziell wirken sollten. Recorded Future nannte als Beispiele ein diplomatisches Schreiben an das armenische Außenministerium, einen Antrag zum turkmenischen Luftraum und einen Vorschlag im Zusammenhang mit der russischen Ölraffinerie Orsk.
Der erste dokumentierte Infektionsweg, der im Juni 2025 beobachtet wurde, verwendete Word-Dokumente mit aktivierten macros. Ein macro ist eine automatisierte Folge von Dokumentanweisungen, die Aktionen auf einem Computer ausführen kann. In diesem Fall luden die Dokumente ein weiteres schädliches Programm herunter und führten es aus. Im Juli 2025 wechselten die Angreifer zu Downloadern, die mit PS2EXE erstellt worden waren, einem Tool, das PowerShell-Skripte als ausführbare Windows-Dateien verpackt. Diese Downloader riefen reverse shell-Payloads ab und erstellten scheduled tasks, damit die malware dauerhaft weiterlief.
Eine Angriffskette vom Oktober 2025 platzierte eine schädliche Windows-Verknüpfung beziehungsweise ein LNK file in einem RAR-Archiv. Beim Öffnen wurde PowerShell gestartet, das ein auf GitHub gehostetes Skript abrief und ausführte, um Zugriff über eine remote shell zu ermöglichen. Spätere Varianten dieses Infektionswegs luden außerdem PickleShell herunter und platzierten es im Windows-Startup-Ordner, sodass es bei jeder Anmeldung des Benutzers ausgeführt wurde.
Im April 2026 verwendete Silent Lynx ein präpariertes RAR-Archiv, das CVE-2025-8088 in WinRAR ausnutzte. Das Archiv platzierte PickleShell direkt im Windows-Startup-Ordner. Cisco Talos erklärte, dies sei die erste beobachtete UAT-6275-Kampagne gewesen, bei der eine Software-Schwachstelle zur Verbreitung von malware genutzt wurde, anstatt sich ausschließlich auf täuschende Dateien und integrierte Tools zu verlassen. Aus den Berichten über die Kampagne geht nicht hervor, welche WinRAR-Versionen betroffen waren oder in welcher Version die Schwachstelle behoben wurde.
Die Forscher fanden außerdem drei öffentlich zugängliche staging-Verzeichnisse, die mit dem Akteur in Verbindung standen. Sie enthielten mit Linux kompatible Tools und ein öffentliches proof-of-concept für CVE-2025-25257, eine SQL injection-Schwachstelle in Fortinet FortiWeb. SQL injection ist eine Technik, bei der speziell präparierte Datenbankbefehle über ein Eingabefeld einer Anwendung übermittelt werden. Das Vorhandensein des Exploits deutet auf ein mögliches Interesse hin, die Fähigkeiten des Akteurs zu erweitern. Die Forscher erklärten jedoch nicht, dass diese FortiWeb-Schwachstelle bei den dokumentierten Kompromittierungen tatsächlich eingesetzt worden sei.
Für Website-Betreiber und IT-Teams betrifft das hier beschriebene unmittelbare Risiko Windows-Computer, die für alltägliche Arbeiten und Verwaltungsaufgaben genutzt werden, und nicht eine Schwachstelle in einer Website-Plattform. Unerwartete Archive, Dokumente und Verknüpfungen können als Einstiegspunkt dienen, während persistence im Startup-Ordner dafür sorgt, dass schädliche Software nach der Anmeldung erneut ausgeführt wird. Organisationen, die Unterstützung bei diesen umfassenderen Sicherheits- und Infrastrukturaufgaben benötigen, können AEU-I für sicherheitsorientierte IT, Infrastruktur und Beratung nutzen.
Cisco Talos kam zu der Einschätzung, dass die anhaltenden Aktivitäten und die Einführung neuer Verbreitungsmethoden auf eine fortgesetzte Ausrichtung auf Regierungsorganisationen in Zentralasien und der CIS hindeuten. Die Forscher brachten das Interesse des Akteurs an Umweltbehörden, Wirtschaftsministerien und Energieinfrastruktur mit dem Wert von Informationen über regionale Diplomatie und Ressourcenverwaltung in Verbindung.