קבוצת הריגול Silent Lynx, שמקורה לפי החוקרים בקזחסטן, פועלת נגד גופים ממשלתיים במדינות חבר העמים העצמאים. לפי מחקר של Cisco Talos ושל Recorded Future, באפריל 2026 היא עברה לראשונה לנצל פגיעות בתוכנה, ארכיון RAR שמנצל את CVE-2025-8088 ב-WinRAR.
הפרטים
הקבוצה פעילה לפחות מ-2020. פעילות הקמפיין שנסקרה נמשכה מיוני 2025 עד אוגוסט 2026, והיעדים הם גופים ממשלתיים בתשע מדינות, בהן קזחסטן, אוזבקיסטן, ארמניה, אזרבייג'ן, רוסיה ובלארוס. התוקפים התעניינו גם ברשויות סביבה, במשרדי כלכלה ובתשתיות אנרגיה.
במהלך התקופה תועדו ארבע שרשראות הדבקה: מסמכי Word עם מאקרו, מורידים שארוזו עם PS2EXE, קובץ LNK בתוך ארכיון RAR שמפעיל PowerShell, ולבסוף ארכיון שמנצל את הפגיעות ב-WinRAR ומניח את הנוזקה בתיקיית ההפעלה של Windows. הנוזקות הן מעטפות הפוכות (reverse shell) מותאמות, ובהן PickleShell. הדיווח מצביע על קשר אפשרי לקבוצות כמו Tomiris, אך לא נצפתה חפיפה ישירה בכלים או במזהים עם YoroTrooper.
נקודות לשים לב
- אם WinRAR מותקן אצלך, ודא שהוא מעודכן לגרסה שמתקנת את CVE-2025-8088. בניגוד ל-7-Zip, התוכנה לא מתעדכנת אוטומטית.
- חפש קבצים לא מוכרים בתיקיית ההפעלה של המשתמש (
Startup) ומשימות מתוזמנות חדשות, שהן שני מנגנוני ההתמדה שתועדו בקמפיין. - חסום או הצר פתיחת קבצי LNK ומאקרו במסמכים שמגיעים בדוא"ל, וסמן ארכיונים שמכילים קבצי LNK.
- מדד הפשרה (IoC) המלא אינו בכתבה החדשותית, וזמין במחקרים המקוריים שמקושרים למטה.
- הקמפיין ממוקד באזור מסוים. הוא אינו מעיד על גל תקיפות רחב נגד ארגונים בישראל, אבל הפגיעות עצמה רלוונטית לכל מי שמשתמש ב-WinRAR.
מקורות: Cisco Talos · Recorded Future Insikt Group · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
