La falla CVE-2025-8088 di WinRAR usata per installare PickleShell
La falla CVE-2025-8088 di WinRAR è stata utilizzata dal threat actor noto come Silent Lynx per installare PickleShell su computer Windows presi di mira. Cisco Talos e Insikt Group di Recorded Future hanno osservato l’attività più ampia da giugno 2025 ad agosto 2026, identificando quattro vie di infezione che coinvolgevano documenti dannosi, downloader basati su PowerShell, codice ospitato su GitHub e archivi RAR appositamente preparati.
Gli attacchi hanno infine installato FoalShell, Chvost, Laplas o PickleShell. Si tratta di reverse shells personalizzate, programmi che consentono a un operatore esterno di interagire da remoto con un computer compromesso. Cisco Talos monitora l’attività con il nome UAT-6275, mentre Recorded Future usa il nome TAG-193. I ricercatori hanno scoperto che gli obiettivi erano concentrati in Asia centrale e nella più ampia Comunità degli Stati Indipendenti (CIS), con vittime o temi correlati alle esche riguardanti Kazakistan, Kirghizistan, Tagikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaigian, Russia e Bielorussia.
Seqrite Labs ha documentato pubblicamente Silent Lynx per la prima volta all’inizio del 2025, segnalando attacchi contro ambasciate, avvocati, banche sostenute dai governi e centri studi in Kirghizistan e Turkmenistan. Si ritiene che il gruppo abbia legami con il Kazakistan e che sia operativo almeno dal 2020. I ricercatori hanno associato la sua attività a cluster di monitoraggio e alias tra cui YoroTrooper, Comrade Saiga, ShadowSilk, SturgeonPhisher, Cavalry Werewolf e Tomiris. Si sospetta che UAT-6275 e YoroTrooper appartengano a un più ampio cluster comune, ma i ricercatori non hanno osservato sovrapposizioni dirette nei loro strumenti o indicatori tecnici.
VMRay ha riferito separatamente che Hydra Saiga, un altro nome usato per l’attore monitorato come Comrade Saiga, aveva compromesso almeno 34 organizzazioni in otto Paesi dal dicembre 2024. La ricognizione, ossia la raccolta di informazioni prima di un possibile attacco, si è estesa a più di 200 altri obiettivi in tutto il mondo. Il nome Hydra riflette l’attenzione dell’attore verso le infrastrutture collegate alle risorse idriche dell’Asia centrale. Le sue operazioni hanno combinato implant personalizzati scritti in Rust, Go e Python con tecniche Living-off-the-Land, che sfruttano impropriamente strumenti legittimi già installati su un computer.
In tutta la regione, i ricercatori hanno identificato almeno otto campagne tra gennaio 2025 e maggio 2026. I messaggi di Spear-phishing, ossia email ingannevoli adattate a uno specifico destinatario, utilizzavano oggetti relativi a relazioni diplomatiche, commercio internazionale, energia e aviazione. Alcuni messaggi provenivano da account governativi precedentemente compromessi e contenevano documenti creati per apparire ufficiali. Recorded Future ha citato esempi riguardanti una lettera diplomatica indirizzata al Ministero degli Affari Esteri dell’Armenia, una richiesta relativa allo spazio aereo del Turkmenistan e una proposta collegata alla raffineria di petrolio russa di Orsk.
La prima via di infezione documentata, osservata nel giugno 2025, utilizzava documenti Word con macro abilitate. Una macro è un insieme automatizzato di istruzioni contenute in un documento che può eseguire azioni su un computer. In questo caso, i documenti scaricavano ed eseguivano un altro programma dannoso. Nel luglio 2025, gli attaccanti sono passati a downloader creati con PS2EXE, uno strumento che impacchetta script PowerShell come file eseguibili Windows. Questi downloader recuperavano payload di reverse shell e creavano attività pianificate affinché il malware continuasse a essere eseguito nel tempo.
Una catena di attacco dell’ottobre 2025 inseriva un collegamento Windows dannoso, o LNK file, all’interno di un archivio RAR. La sua apertura avviava PowerShell, che recuperava ed eseguiva uno script ospitato su GitHub in grado di fornire accesso remoto alla shell. Le versioni successive di questa via di infezione scaricavano anche PickleShell e lo collocavano nella cartella Startup di Windows, facendolo eseguire ogni volta che l’utente effettuava l’accesso.
Nell’aprile 2026, Silent Lynx ha utilizzato un archivio RAR appositamente creato che sfruttava CVE-2025-8088 in WinRAR. L’archivio collocava PickleShell direttamente nella cartella Startup di Windows. Cisco Talos ha dichiarato che questa è stata la prima campagna UAT-6275 osservata a utilizzare una vulnerabilità software per distribuire malware, anziché affidarsi esclusivamente a file ingannevoli e strumenti integrati. Il rapporto sulla campagna non identifica le versioni di WinRAR interessate né una versione corretta.
I ricercatori hanno inoltre trovato tre directory di staging pubblicamente accessibili associate all’attore. Contenevano strumenti compatibili con Linux e un proof-of-concept pubblico per CVE-2025-25257, una falla di SQL injection in Fortinet FortiWeb. SQL injection è una tecnica che invia comandi di database appositamente creati attraverso un campo di input di un’applicazione. La presenza dell’exploit suggerisce un possibile interesse nell’ampliare le capacità dell’attore, ma i ricercatori non hanno affermato che questa vulnerabilità di FortiWeb sia stata utilizzata nelle compromissioni documentate.
Per i proprietari di siti web e i team IT, il rischio immediato descritto riguarda i computer Windows utilizzati per il lavoro e l’amministrazione quotidiani, anziché una vulnerabilità di una piattaforma web. Archivi, documenti e collegamenti inattesi possono fornire un punto di ingresso, mentre la persistenza nella cartella Startup consente al software dannoso di riattivarsi dopo l’accesso. Le organizzazioni che necessitano di assistenza per queste più ampie attività di sicurezza e infrastruttura possono rivolgersi ad AEU-I per servizi IT, infrastruttura e consulenza orientati prioritariamente alla sicurezza.
Cisco Talos ha valutato che la continuità dell’attività e l’adozione di nuovi metodi di distribuzione indicano che le organizzazioni governative dell’Asia centrale e della CIS continueranno a essere prese di mira. I ricercatori hanno collegato l’attenzione dell’attore verso agenzie ambientali, ministeri economici e infrastrutture energetiche al valore delle informazioni sulla diplomazia regionale e sulla gestione delle risorse.