Kazakistan bağlantılı Silent Lynx, BDT hükümetlerine WinRAR açığıyla saldırdı

Cisco Talos ve Recorded Future'ın Insikt Group ekibinin 15 Ekim 2026'da yayımladığı raporlara göre Kazakistan bağlantılı olduğu değerlendirilen bir siber casusluk grubu, dokuz eski Sovyet ülkesindeki hükümet kurumlarını hedef aldı ve zararlı yazılım dağıtmak için ilk kez bir yazılım açığından yararlandı. The Hacker News, grubu Silent Lynx olarak tanımlıyor; Talos bu aktörü UAT-6275, Insikt Group ise TAG-193 adıyla izliyor.

Neler oldu?

The Record'un aktardığına göre araştırmacılar, zararlı yazılımdaki Rusça içerikler, örneklerin oluşturulduktan kısa süre sonra Kazakistan'dan test edilmesi ve faaliyetlerin Kazakistan mesai saatleriyle örtüşmesi nedeniyle grubun Kazakistan ile bağlantılı olduğunu orta düzeyde güvenle değerlendiriyor. The Hacker News, grubun YoroTrooper, ShadowSilk, Cavalry Werewolf ve Tomiris olarak bilinen kümelerle örtüştüğünü, ancak Talos'un YoroTrooper ile doğrudan gösterge veya araç seti örtüşmesi gözlemlemediğini belirtiyor.

The Record'a göre araştırmacılar Ocak 2025'ten bu yana en az sekiz kampanyayı gruba bağladı. The Hacker News, hedef ülkeleri Kazakistan, Kırgızistan, Tacikistan, Türkmenistan, Özbekistan, Ermenistan, Azerbaycan, Rusya ve Belarus olarak sıralıyor. Grubun ilgi alanları dış ilişkiler, ekonomik kalkınma, tarım, çevre yönetimi ile enerji ve su kaynakları. The Record'un verdiği örnekler arasında Mart 2026'daki Kazakistan anlaşma görüşmelerinin hemen ardından hedef alınan bir Tacik hükümet kurumu ve bir Ermeni çevre ajansı bulunuyor.

The Record'un aktardığına göre Insikt Group, bu kurumların müzakerelere, ekonomik planlamaya ve bölgesel güvenlik kararlarına yön verebilecek bilgilere sahip olduğunu vurguladı.

Teknik detaylar

Her iki yayına göre grup, zaman zaman ele geçirilmiş gerçek hükümet hesaplarından gönderilen hedefli oltalama e-postalarına dayanıyor ve diplomatik yazışma, havacılık formu, iş teklifi gibi yemler kullanıyor. The Hacker News, enfeksiyon zincirlerinin Haziran 2025'teki makrolu Word belgelerinden PS2EXE ile derlenmiş indiricilere, GitHub'dan betik çeken RAR içindeki LNK dosyalarına ve FoalShell, Chvost, Laplas ile PickleShell adlı özel ters kabuklara uzanan bir gelişim gösterdiğini aktarıyor.

Grup Nisan 2026'da WinRAR açığı CVE-2025-8088'i istismar eden bir RAR arşiviyle PickleShell'i Windows Başlangıç klasörüne bırakarak oturum açılışında çalışmasını sağladı. The Record'a göre bu saldırı büyük olasılıkla Ermenistan Dışişleri Bakanlığı'nı hedef aldı. The Hacker News ayrıca araştırmacıların Fortinet FortiWeb açığı CVE-2025-25257 için kamuya açık bir kavram kanıtı barındıran hazırlık dizinleri bulduğunu ve bunun grubun yeteneklerini genişletebileceğine işaret ettiğini belirtiyor.

Ne yapmalı?

Raporlarda özel bir savunma önerisi yer almıyor. Anlatılan tekniklere göre:

• WinRAR'ı CVE-2025-8088'i kapatan bir sürüme güncelleyin, FortiWeb'i CVE-2025-25257'ye karşı yamalayın.
• LNK ve PowerShell kötüye kullanımını, yeni zamanlanmış görevleri ve Başlangıç klasörüne bırakılan dosyaları izleyin.
• Grup ele geçirilmiş meşru posta kutularını kullandığı için hükümet veya iş ortağı hesaplarından gelen beklenmedik arşiv eklerine temkinli yaklaşın.
• Tehlike göstergeleri için Talos ve Recorded Future raporlarına başvurun.