Группа кибершпионажа Silent Lynx, впервые идентифицированная экспертами Seqrite Labs, продолжает активные операции против государственных структур Центральной Азии. Несмотря на множество альтернативных названий, которые давали этой группе различные исследователи - YoroTrooper, Sturgeon Phisher, Cavalry Werewolf, ShadowSilk - команда Seqrite сохраняет первоначальное наименование для сохранения последовательности в отслеживании деятельности хакеров.
Описание
Целенаправленные атаки через фишинг
Группа известна проведением целенаправленных фишинговых кампаний, в ходе которых злоумышленники выдают себя за государственных служащих. Используя как собственные разработки, так и готовые инструменты из открытых источников, Silent Lynx фокусируется на целевых атаках на аналитические центры, правительственные организации Центральной Азии, Российские государственные структуры и некоторые страны Юго-Восточной Азии.
В ходе последних исследований выявлены две основные кампании, демонстрирующие географические предпочтения группы. Первая кампания, отслеживаемая с начала июня по сентябрь 2025 года, была нацелена на китайские и центральноазиатские правительственные аналитические центры с использованием темы саммита в Астане. Вторая кампания, обнаруженная в период с середины сентября по октябрь, использовала поддельные электронные письма от государственных структур Кыргызстана для атак на различные российские организации.
Технический арсенал и тактики
Исследователи обнаружили, что группа использует разнообразные вредоносные инструменты, демонстрируя при этом недостаточное внимание к операционной безопасности. В арсенале Silent Lynx присутствуют различные импланты, включая Silent Loader, Laplas и SilentSweeper, которые реализуют функционал обратных оболочек на C++, PowerShell и .NET.
Особенностью последних кампаний стало использование злоумышленниками GitHub для хранения вредоносных нагрузок вместо их прямого внедрения в исполняемые файлы. Это изменение тактики, однако, не скрывает сходства с предыдущими операциями группы - сохранена obsession с кодированием Base64 и использованием обратных оболочек.
Инфраструктура и целевые секторы
Анализ инфраструктуры показал использование серверов в России и Нидерландах, причем некоторые IP-адреса связаны с ранее неатрибутированными кампаниями. Группа демонстрирует особый интерес к дипломатическим отношениям между Азербайджаном и Россией, а также к китайско-центральноазиатскому сотрудничеству.
Основными целевыми секторами стали правительственные аналитические центры и дипломатические структуры, горнодобывающая промышленность, транспорт и коммуникации. Географический фокус включает Таджикистан, Азербайджан, Россию, Китай и другие страны Центральной Азии.
Операционные промахи и атрибуция
Исследователи отмечают многочисленные операционные ошибки группы, которые позволили связать различные кампании между собой. В частности, анализ метаданных LNK-файлов выявил общие рабочие каталоги, а инфраструктурные артефакты позволили обнаружить дополнительные неатрибутированные кампании.
Атрибуция кампаний группе Silent Lynx основана на нескольких факторах: сходстве арсенала вредоносных инструментов, единых тактиках проведения атак и совпадении географических интересов. Группа продолжает демонстрировать интерес к событиям в Душанбе, включая встречи глав государств России и Азербайджана, а также инфраструктурные проекты вроде автомобильной трассы Китай-Таджикистан.
Прогнозы и рекомендации
Эксперты предупреждают, что группа остается активной и может продолжить атаки на мероприятия, связанные с дипломатическими встречами в регионе. В частности, существует вероятность targeting предстоящей встречи секретарей Индии и Центральной Азии в октябре, хотя на момент публикации исследования подобные кампании не обнаружены.
Для защиты от угроз подобного рода организациям рекомендуется усилить меры безопасности при работе с электронной почтой, особенно в части проверки архивных вложений и использования средств защиты от фишинговых атак. Также важно отслеживание сетевой активности, связанной с известными адресами командных серверов группы.
Группа Silent Lynx демонстрирует постоянство в выборе целей и методов атак, что делает ее серьезной угрозой для государственных и дипломатических организаций Центральной Азии. Несмотря на отдельные операционные ошибки, группа продолжает совершенствовать свои инструменты и тактики, требуя повышенного внимания со стороны специалистов по кибербезопасности.
Индикаторы компрометации
