WinRARの脆弱性を悪用したサイバー攻撃、中央アジアなど9カ国が標的

Cisco Talosは、中央アジアなど9カ国の政府関連組織を標的とするサイバー攻撃について調査結果を公開した。攻撃を実行したのは「Silent Lynx」と呼ばれる脅威グループで、WinRARの脆弱性「CVE-2025-8088」を悪用し、感染端末を遠隔操作するマルウェアを配信していた。攻撃活動は2025年6月から2026年8月にかけて確認されており、同グループは感染手法を変化させながら活動を続けているという。

これはSilent Lynxと呼ばれる脅威グループによる攻撃で、WinRARの脆弱性「CVE-2025-8088」を悪用してリバースシェルを配信したとされる。Cisco TalosとRecorded Future Insikt Groupが調査を進めており、両組織は同グループをそれぞれUAT-6275、TAG-193の名称で追跡している。

Cisco Talosの調査レポート：Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations
Recorded Futureの調査レポート：TAG-193’s Regional Espionage Operations

Silent Lynxとは？中央アジアなど9か国の政府関連組織を標的に

攻撃活動は2025年6月から2026年8月まで確認されている。感染経路は4種類に分かれ、マクロ付き文書、PS2EXEで作成したダウンローダー、GitHub上のPowerShellスクリプト、細工したWinRARアーカイブを利用する。最終段階ではFoalShell、Chvost、Laplas、PickleShellなど独自開発のリバースシェルを展開し、侵害端末への対話型リモートアクセスを実現する。

Cisco Talosの研究者Ashley Shen氏によると、UAT-6275の標的は中央アジアとCIS地域に集中する。調査対象の攻撃では、カザフスタン、キルギス、タジキスタン、トルクメニスタン、ウズベキスタン、アルメニア、アゼルバイジャン、ロシア、ベラルーシの9か国に関係する被害組織や誘導文書が確認された。

Silent Lynxは2025年初頭、Seqrite Labsの報告で公に知られるようになった。同報告は、キルギスやトルクメニスタンの大使館、弁護士、政府系銀行、シンクタンクを標的とする攻撃を取り上げた。

この調査では、同グループを少なくとも2020年から活動するカザフスタンに関連した脅威グループと評価している。YoroTrooper(別名：Comrade Saiga、ShadowSilk、SturgeonPhisher)、ShadowSilk、Cavalry Werewolf、Tomirisなどの脅威グループとの活動上の共通点も指摘されている。

主な攻撃対象地域と脅威グループの推定所在地引用：Cisco Talos

WinRARの脆弱性「CVE-2025-8088」を悪用、攻撃手法が変化

攻撃の感染経路には、時期ごとの変化が見られる。2025年6月には、マクロ付きWord文書から第2段階の実行ファイルを取得して起動した。同年7月には、PowerShellスクリプトをWindows実行ファイルへ変換するPS2EXEを利用し、リバースシェルを取得するとともに、タスクスケジューラへタスクを登録して永続的な活動を可能にした。

同年10月には、RARアーカイブ内の悪意あるショートカットファイル(LNK)からPowerShellを起動し、GitHub上のスクリプトを取得・実行してリモートシェルを提供した。その後の手法ではPickleShellも取得し、Windowsのスタートアップフォルダーへ配置して、ユーザーのログイン時に自動起動させた。

2026年4月になると、WinRARの脆弱性「CVE-2025-8088」を悪用するRARアーカイブを使用し、PickleShellをスタートアップフォルダーへ配置した。この攻撃は、マルウェア配信にセキュリティ脆弱性を利用したUAT-6275の初の事例に当たる。

Cisco Talosは、継続的な活動と配信手法の変化を踏まえ、同グループが中央アジアおよびCIS地域の政府機関への侵入を続けると分析する。環境関連機関、経済関連の省庁、エネルギーインフラへの関心は、地域外交や資源管理に関する情報が攻撃者にとって価値を持つことを意味している。