16 out Criminosos abusam de falha no WinRAR para espionar governos e órgãos públicos
Um grupo de hackers com provável origem no Cazaquistão utilizou uma falha de segurança no programa WinRAR para invadir sistemas governamentais e espionar órgãos públicos na Ásia Central e em países vizinhos. A campanha de ciberespionagem, atribuída ao coletivo Silent Lynx, direcionou ataques contra ao menos nove países, com foco em pastas de diplomacia, economia e recursos naturais, segundo relatórios divulgados pelas empresas de segurança Cisco Talos e Recorded Future na quarta-feira (14).
As investigações conjuntas apontam que os cibercriminosos atuaram de forma contínua entre junho de 2025 e agosto deste ano. O grupo utilizou e-mails de disparo em massa com anexos falsos e documentos maliciosos para infectar computadores de autoridades e servidores públicos. Entre os alvos confirmados estão órgãos estatais e ministérios de países como Cazaquistão, Quirguistão, Tajiquistão, Turcomenistão, Uzbequistão, Armênia, Azerbaijão, Rússia e Belarus.
A principal tática recente do grupo envolveu a exploração da vulnerabilidade CVE-2025-8088 no compactador de arquivos WinRAR. Ao abrir um arquivo compactado manipulado, o sistema da vítima instalava automaticamente um programa de acesso remoto na pasta de inicialização do Windows. Isso permitia que os hackers mantivessem acesso permanente ao computador a cada novo login do usuário.
“A atividade sustentada do grupo e a adoção de novas técnicas de entrega sugerem que ele continuará buscando acesso a organizações governamentais na Ásia Central e na região”, afirmou a pesquisadora Ashley Shen, da Cisco Talos, em análise sobre o alcance das invasões.
Interesses em água, energia e diplomacia
A escolha dos alvos demonstra um interesse estratégico em obter dados sobre negociações diplomáticas e gestão de recursos naturais na região. Analistas da Recorded Future identificaram que os invasores dispararam mensagens com iscas temáticas, incluindo cartas diplomáticas falsas direcionadas ao Ministério dos Negócios Estrangeiros da Armênia e propostas de cooperação comercial para o setor petrolífero russo.
A escolha dos alvos demonstra um interesse estratégico em obter dados sobre negociações diplomáticas e gestão de recursos naturais na região. Analistas da Recorded Future identificaram que os invasores dispararam mensagens com iscas temáticas, incluindo cartas diplomáticas falsas direcionadas ao Ministério dos Negócios Estrangeiros da Armênia e propostas de cooperação comercial para o setor petrolífero russo.
Outro foco central das invasões envolveu órgãos ligados ao meio ambiente e ao abastecimento de água. Na Ásia Central, a gestão de recursos hídricos é considerada um tema crítico de segurança nacional devido à dependência de rios transfronteiriços para a agricultura e geração de energia. Uma análise da empresa VMRay revelou que os hackers espionaram estruturas hídricas estratégicas no Quirguistão, Tajiquistão e Uzbequistão, além de operadoras de energia e redes de distribuição de gás.
Os pesquisadores também identificaram movimentações nos servidores do grupo que indicam a preparação de novas fases operacionais. Entre os arquivos encontrados pelas equipes de análise estavam ferramentas compatíveis com sistemas Linux e códigos de teste para explorar uma falha de injeção de SQL no software de proteção de aplicações web FortiWeb, da Fortinet.
Falhas na segurança expuseram os invasores
Apesar do uso de técnicas sofisticadas para burlar antivírus e invadir redes restritas, os invasores cometeram erros graves de segurança operacional. Servidores de armazenamento e diretórios utilizados pelo Silent Lynx ficaram expostos publicamente na internet, o que permitiu que os analistas mapeassem o histórico de desenvolvimento dos programas maliciosos e a infraestrutura de comando dos ataques.
A análise do histórico de atividades, dos horários de trabalho dos operadores e das pausas operacionais ajudou os especialistas a determinar a origem geográfica provável do grupo. Os registros de acesso e envio de comandos coincidem com o fuso horário local e com o calendário de feriados nacionais do Cazaquistão, como as datas festivas do Nauryz e do Dia Internacional da Mulher.
“Seu interesse em agências ambientais, ministérios econômicos e infraestrutura de energia reflete o valor de inteligência da diplomacia regional e da gestão de recursos”, destacou a equipe da Cisco Talos, ao detalhar como os dados roubados podem ser utilizados para fins geopolíticos.
Para mitigar os riscos de novas invasões, os especialistas recomendam que instituições governamentais e empresas mantenham leitores e compactadores de arquivos atualizados, monitorem o uso não autorizado de scripts em PowerShell e restrinjam a execução de programas desconhecidos adicionados automaticamente à inicialização dos sistemas operacionais.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.