Атака с юга

Cisco Talos и Recorded Future рассказали о группировке Silent Lynx, которую связывают с Казахстаном. С 2024 года она ведет шпионские кампании против госорганов, дипломатов и гражданского общества в Центральной Азии. Среди целей — Орский нефтеперерабатывающий завод на юге России и правительство Нижнего Новгорода.

Работает группа не топорно. Фишинг через взломанные государственные аккаунты, легкие вредоносные программы на PowerShell, C++ и C#, а полезная нагрузка прячется на GitHub, в Telegram и на взломанных серверах. Проще говоря, злоумышленники не тащат в атаку тяжелую малварь, а маскируют команды под обычные сервисы, которые редко вызывают подозрение.

На Казахстан указывают косвенные улики. Рабочие часы Астаны (95% совпадений по времени коммитов), IP-адреса из страны и загрузка образцов malware на VirusTotal оттуда же. Это еще не конечный вердикт, но в киберразведке такие совпадения принято считать не случайными.

Активность группы совпала с дипломатическими событиями, например ратификацией договора между Казахстаном и Таджикистаном, и атакой дронов на Орский НПЗ. Возможно, хакеры собирали данные об энергетической инфраструктуре. Совпадение, но в разведке совпадений не любят.

В целом, все это выглядит, как будто небольшая группировка подтягивается к большой киберразведке. Смотрится скромнее, чем атаки APT-гигантов, но цели у них вполне взрослые (заводы, чиновники и дипломатия).

@antiinfosec