Silent Lynx exploite WinRAR et un reverse shell contre la CEI
Silent Lynx vise les gouvernements de la CEI avec quatre chaînes d'infection, dont des archives WinRAR piégées.
Une nouvelle campagne d’espionnage est attribuée à Silent Lynx. Cet acteur malveillant s’en prend à des organisations gouvernementales de la Communauté des États indépendants (CEI). Par ailleurs, les attaques reposent sur une faille de WinRAR. Elles visent à installer un reverse shell sur les machines compromises.
Les chercheurs décrivent quatre chaînes d’infection différentes. Cette diversité montre donc un groupe qui adapte ses outils. Il ne se limite pas à une opération reposant sur un seul scénario.
Silent Lynx cible les administrations de la CEI
L’activité a été observée de juin 2025 à août 2026. Elle s’étend donc sur une longue période. Par ailleurs, elle vise spécifiquement des organismes publics de la région.
Ce choix de cibles est typique d’une logique d’espionnage. En effet, les administrations gouvernementales détiennent des documents sensibles et des échanges diplomatiques. En outre, un accès à distance durable permet de surveiller ces informations dans le temps.
Les informations disponibles ne précisent pas l’identifiant CVE de la faille WinRAR exploitée. Nous ne l’indiquons donc pas ici. Cependant, le rôle de cette vulnérabilité dans l’attaque est clair. Elle sert à livrer la charge finale.
Quatre chaînes d’infection pour un même objectif
Le groupe ne s’appuie pas sur une seule méthode. Il combine en effet plusieurs techniques de livraison. Cela multiplie ses chances de succès. Voici d’abord les quatre vecteurs identifiés.
- Des documents avec macros : la victime doit activer le contenu actif pour déclencher le code.
- Des téléchargeurs PS2EXE : des scripts PowerShell convertis en exécutables.
- Du PowerShell hébergé sur GitHub : le script malveillant est récupéré depuis une plateforme légitime.
- Des archives WinRAR spécialement conçues : elles exploitent la faille pour exécuter du code.
Chaque vecteur répond à un besoin précis. Par exemple, les macros reposent sur l’ingénierie sociale. Les archives piégées, en revanche, exploitent une faiblesse logicielle. Ainsi, le groupe peut contourner des défenses variées.
L’objectif final reste le même d’après le titre de l’étude : déployer un reverse shell. Ce type de porte dérobée inverse la connexion. Autrement dit, c’est la machine infectée qui contacte l’attaquant. Par conséquent, le trafic sortant paraît souvent moins suspect qu’une connexion entrante.
Des outils légitimes détournés pour passer inaperçu
Plusieurs éléments de cette campagne exploitent des outils courants. Par exemple, PowerShell est installé par défaut sur Windows. De plus, WinRAR est répandu dans de nombreuses organisations. GitHub, enfin, est un service que les pare-feu laissent généralement passer.
Cette approche présente un avantage évident pour l’attaquant. Le trafic vers GitHub n’éveille pas toujours les soupçons. De plus, un script hébergé sur la plateforme peut être modifié à tout moment. L’opérateur ajuste alors sa charge sans toucher au document initial.
Les exécutables créés avec PS2EXE posent un autre problème. Ils masquent un script PowerShell sous la forme d’un fichier binaire classique. Certains contrôles basés sur l’analyse de scripts peuvent donc passer à côté. Toutefois, une surveillance du comportement des processus reste efficace pour les repérer.
Enfin, les archives WinRAR font partie du quotidien des administrations. Un fichier compressé reçu par courriel paraît banal. C’est pourquoi ce vecteur reste prisé des groupes d’espionnage.
Ce qu’il faut retenir sur Silent Lynx
Cette campagne rappelle qu’un groupe ciblé combine volontiers plusieurs méthodes. Les organisations de la CEI sont en première ligne. Cependant, les mêmes techniques peuvent viser d’autres secteurs. Voici donc les mesures à privilégier.
- Mettre à jour WinRAR vers la dernière version disponible, car la faille exploitée touche ce logiciel.
- Bloquer les macros dans les documents reçus de l’extérieur, sauf besoin avéré.
- Restreindre PowerShell grâce au mode de langage contraint et à la journalisation détaillée des scripts.
- Surveiller les connexions sortantes, notamment les requêtes inhabituelles vers GitHub depuis des postes bureautiques.
- Sensibiliser les agents aux pièces jointes inattendues, y compris les archives compressées.
- Déployer une solution EDR capable de détecter les comportements typiques d’un reverse shell.
En résumé, la campagne attribuée à Silent Lynx repose sur des outils ordinaires utilisés de façon ciblée. Une défense en profondeur réduit nettement le risque. Elle doit également s’accompagner de correctifs appliqués rapidement.
Source : Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks