Dobësia e WinRAR CVE-2025-8088 u përdor për të vendosur PickleShell
Dobësia e WinRAR CVE-2025-8088 u përdor nga aktori i kërcënimit i njohur si Silent Lynx për të instaluar PickleShell në kompjuterë Windows të vënë në shënjestër. Cisco Talos dhe Insikt Group i Recorded Future e vëzhguan aktivitetin më të gjerë nga qershori 2025 deri në gusht 2026, duke identifikuar katër rrugë infektimi që përfshinin dokumente keqdashëse, programe downloader të bazuara në PowerShell, kod të hostuar në GitHub dhe arkiva RAR të përgatitura posaçërisht.
Sulmet përfundimisht instaluan FoalShell, Chvost, Laplas ose PickleShell. Këto janë programe të posaçme reverse shell, të cilat i lejojnë një operatori të jashtëm të ndërveprojë nga larg me një kompjuter të komprometuar. Cisco Talos e gjurmon aktivitetin si UAT-6275, ndërsa Recorded Future përdor emrin TAG-193. Studiuesit zbuluan se vënia në shënjestër përqendrohej në Azinë Qendrore dhe në rajonin më të gjerë të Komonuelthit të Shteteve të Pavarura (CIS), me viktima ose tema joshëse të lidhura me Kazakistanin, Kirgistanin, Taxhikistanin, Turkmenistanin, Uzbekistanin, Armeninë, Azerbajxhanin, Rusinë dhe Bjellorusinë.
Seqrite Labs e dokumentoi për herë të parë publikisht Silent Lynx në fillim të vitit 2025, duke raportuar sulme kundër ambasadave, avokatëve, bankave të mbështetura nga qeveria dhe instituteve kërkimore në Kirgistan dhe Turkmenistan. Grupi vlerësohet se ka lidhje me Kazakistanin dhe se ka vepruar të paktën që nga viti 2020. Studiuesit e kanë lidhur aktivitetin e tij me grupime gjurmimi dhe pseudonime, përfshirë YoroTrooper, Comrade Saiga, ShadowSilk, SturgeonPhisher, Cavalry Werewolf dhe Tomiris. UAT-6275 dhe YoroTrooper dyshohet se i përkasin një grupimi të përbashkët më të gjerë, por studiuesit nuk kanë vërejtur mbivendosje të drejtpërdrejtë në mjetet ose treguesit e tyre teknikë.
VMRay raportoi veçmas se Hydra Saiga, një emër tjetër i përdorur për aktorin e gjurmuar si Comrade Saiga, kishte komprometuar të paktën 34 organizata në tetë shtete që nga dhjetori 2024. Zbulimi paraprak, që nënkupton mbledhjen e informacionit përpara një sulmi të mundshëm, u shtri në më shumë se 200 objektiva të tjerë në mbarë botën. Emri Hydra pasqyron përqendrimin e aktorit te infrastruktura e lidhur me burimet ujore të Azisë Qendrore. Operacionet e tij kanë kombinuar programe të posaçme të shkruara në Rust, Go dhe Python me teknika Living-off-the-Land, të cilat keqpërdorin mjete legjitime që janë tashmë të instaluara në një kompjuter.
Në të gjithë rajonin, studiuesit identifikuan të paktën tetë fushata midis janarit 2025 dhe majit 2026. Mesazhet Spear-phishing, që janë email-e mashtruese të përshtatura për një marrës të caktuar, përdorën tema të lidhura me marrëdhëniet diplomatike, tregtinë ndërkombëtare, energjinë dhe aviacionin. Disa mesazhe erdhën nga llogari qeveritare të komprometuara më parë dhe përmbanin dokumente të krijuara për t’u dukur zyrtare. Recorded Future përmendi shembuj që përfshinin një letër diplomatike drejtuar Ministrisë së Punëve të Jashtme të Armenisë, një kërkesë në lidhje me hapësirën ajrore të Turkmenistanit dhe një propozim të lidhur me Rafinerinë e Naftës Orsk në Rusi.
Rruga e parë e dokumentuar e infektimit, e vërejtur në qershor 2025, përdori dokumente Word me macro të aktivizuara. Një macro është një grup i automatizuar udhëzimesh dokumenti që mund të kryejë veprime në një kompjuter. Në këtë rast, dokumentet shkarkuan dhe ekzekutuan një program tjetër keqdashës. Në korrik 2025, sulmuesit kaluan te programe downloader të krijuara me PS2EXE, një mjet që paketon PowerShell scripts si skedarë të ekzekutueshëm Windows. Këto programe downloader morën payload reverse shell dhe krijuan detyra të planifikuara, në mënyrë që malware të vazhdonte të funksiononte me kalimin e kohës.
Një zinxhir sulmi në tetor 2025 vendosi një shkurtore keqdashëse Windows, ose LNK file, brenda një arkivi RAR. Hapja e saj nisi PowerShell, i cili mori dhe ekzekutoi një script të hostuar në GitHub që siguronte akses shell në distancë. Versionet e mëvonshme të kësaj rruge shkarkuan gjithashtu PickleShell dhe e vendosën atë në Windows Startup folder, duke bërë që të ekzekutohej sa herë që përdoruesi hynte në sistem.
Në prill 2026, Silent Lynx përdori një arkiv RAR të krijuar posaçërisht që shfrytëzonte CVE-2025-8088 në WinRAR. Arkivi e vendosi PickleShell drejtpërdrejt në Windows Startup folder. Cisco Talos tha se kjo ishte fushata e parë e vëzhguar e UAT-6275 që përdori një cenueshmëri software si pjesë të shpërndarjes së malware, në vend që të mbështetej vetëm te skedarët mashtrues dhe mjetet e integruara. Raportimi për fushatën nuk identifikon versionet e prekura të WinRAR ose një version ku problemi është rregulluar.
Studiuesit gjetën gjithashtu tri direktori përgatitore të aksesueshme publikisht dhe të lidhura me aktorin. Ato përmbanin mjete të pajtueshme me Linux dhe një proof-of-concept publik për CVE-2025-25257, një dobësi SQL injection në Fortinet FortiWeb. SQL injection është një teknikë që dërgon komanda të përgatitura posaçërisht për database përmes një fushe hyrëse të aplikacionit. Prania e exploit sugjeron një interes të mundshëm për zgjerimin e aftësive të aktorit, por studiuesit nuk thanë se kjo cenueshmëri e FortiWeb ishte përdorur në komprometimet e dokumentuara.
Për pronarët e faqeve web dhe ekipet IT, rreziku i menjëhershëm i përshkruar këtu lidhet me kompjuterët Windows të përdorur për punën dhe administrimin e përditshëm, dhe jo me një cenueshmëri në një platformë faqesh web. Arkivat, dokumentet dhe shkurtoret e papritura mund të ofrojnë një pikë hyrjeje, ndërsa qëndrueshmëria në Startup folder i lejon software keqdashës të rikthehet pas hyrjes në sistem. Organizatat që kanë nevojë për ndihmë me këtë punë më të gjerë sigurie dhe infrastrukture mund të përdorin AEU-I për shërbime IT, infrastrukture dhe konsulence që vendosin sigurinë në plan të parë.
Cisco Talos vlerësoi se aktiviteti i vazhdueshëm dhe përdorimi i metodave të reja të shpërndarjes tregojnë se organizatat qeveritare në Azinë Qendrore dhe CIS do të vazhdojnë të vihen në shënjestër. Studiuesit e lidhën vëmendjen e aktorit ndaj agjencive mjedisore, ministrive ekonomike dhe infrastrukturës energjetike me vlerën e informacionit për diplomacinë rajonale dhe menaxhimin e burimeve.