脅威グループ「Silent Lynx」がWinRARの脆弱性を悪用、CIS諸国の政府機関を狙うサイバー攻撃が判明

要点

• カザフスタンとの関連が指摘される脅威グループ「Silent Lynx」が、CIS（独立国家共同体）加盟国の政府機関を標的に組織的なサイバー攻撃を行っていたことが明らかになった。

• 圧縮解凍ソフト「WinRAR」の脆弱性（CVE-2025-8088）やマクロ文書など4系統の侵入経路を使い分け、独自の遠隔操作ツールを感染先に展開していた。

• 侵害済みの政府機関アカウントを悪用し、実在の外交書簡や航空申請書に見せかけた精巧な標的型メールを送信していた。

• 攻撃者の関連サーバーからはLinux対応ツールやFortinet製品の脆弱性実証コードが見つかり、攻撃能力の拡張が示唆されている。

• 独立国家共同体（CIS：旧ソ連諸国で構成される国家連合）に属する政府機関に対し、カザフスタンと関連があるとみられる脅威グループ「Silent Lynx」が標的型攻撃を仕掛けていたことが明らかになった。米シスコ・タロス（Cisco Talos）と米レコーデッド・フューチャー（Recorded Future）が2026年10月15日にそれぞれの調査報告を公表した。両社は本活動を「UAT-6275」および「TAG-193」の識別名で追跡しており、WinRARの脆弱性悪用などを通じて独自のリバースシェル（遠隔操作プログラム）を潜入させていたと報告している。

中央アジアを中心とするCIS圏9カ国が標的に

シスコ・タロスの研究者アシュリー・シェン（Ashley Shen）氏によると、今回の攻撃活動「UAT-6275」の対象は中央アジアおよびCIS地域全域に集中しているという。確認された被害組織や囮（おとり）文書のテーマは、カザフスタン、キルギス、タジキスタン、トルクメニスタン、ウズベキスタンの中央アジア諸国に加え、アルメニア、アゼルバイジャン、ロシア、ベラルーシの計9カ国に及んでいる。

これらの攻撃活動は2025年6月から2026年8月にかけて継続して観測されており、地域の国家中枢や公的機関を狙った組織的なサイバー諜報活動とみられている。

WinRAR脆弱性やマクロを組み合わせた4つの侵入経路

攻撃者は侵入にあたり、時期に応じて4つの感染経路を使い分けていた。

主な侵入手段の一つが、圧縮解凍ソフト「WinRAR」に存在した脆弱性「CVE-2025-8088」を悪用する細工済みアーカイブファイルである。このほか、マクロを有効化したWord文書から第2段階のバイナリをダウンロード・実行させる手口（2025年6月観測）や、PowerShellスクリプトを実行可能ファイルへ変換するツール「PS2EXE」でダウンローダーを作成しタスク登録によって持続化を図る手口（同年7月観測）、さらにGitHub上でホストされたPowerShellスクリプトを経由する経路が確認された。

これらの侵入経路を通じて、「FoalShell」「Chvost」「Laplas」「PickleShell」といった独自開発のリバースシェル（侵入先端末から攻撃者のサーバーに通信を接続させ、遠隔操作を可能にするプログラム）が送り込まれ、端末への対話型リモートアクセスが確立されていた。

乗っ取った正規政府アカウントから送られる偽装メール

初期侵入の手口には、外交や国際貿易、エネルギー、航空などを題材にしたスピアフィッシング（特定の組織や個人を標的とした電子メール攻撃）が多用されていた。調査によると、2025年1月から2026年5月の間に地域全体で少なくとも8件のキャンペーンが確認されている。

これらのフィッシングメールは、すでに攻撃者によって侵害されていた政府機関の正規アカウントから送信されていた。公的な外見を持つ文書を添付することで信用させ、警戒を解かせるソーシャルエンジニアリングの手法が取られていたという。レコーデッド・フューチャーによると、確認された囮文書の具体例には、アルメニア外務省宛ての外交書簡、トルクメニスタンの領空利用申請書、ロシアのオルスク製油所に関する事業提案書などが含まれていた。

攻撃グループ「Silent Lynx」の背景と関連クラスター

Silent Lynxは少なくとも2020年頃から活動していると評価されるグループで、カザフスタンに関連があるとみられている。2025年初頭にセキュライト・ラボ（Seqrite Labs）が初めて公開レポートを発表し、キルギスやトルクメニスタンの大使館、法律家、政府系銀行、シンクタンクに対する攻撃を公表していた。

同グループは「YoroTrooper」（別名Comrade Saiga、ShadowSilk、SturgeonPhisher）をはじめ、「ShadowSilk」「Cavalry Werewolf」「Tomiris」といった脅威グループとの活動上の重複が指摘されている。特にUAT-6275とYoroTrooperは同一の広範な活動クラスターの一部である可能性が疑われているものの、現時点では直接的な痕跡やツールの重複は確認されていない。

なお、同系列と目される「Comrade Saiga」は、セキュリティ企業のVM-Rayが「Hydra Saiga」の名称で追跡しているクラスターと同一であるとされる。VMRayの報告によると、Hydra Saigaは2024年12月以降に8カ国で少なくとも34の組織を侵害し、世界中で200以上の標的に偵察を実施していた。「Hydra」の呼称は中央アジアの水資源インフラへの侵入に注力していた点に由来し、Rust、Go、Pythonで書かれた専用不正プログラムや、OS標準機能を悪用する「環境寄生型（Living-off-the-Land）」の手法を用いていたという。

Linux向けツールや他社製品の脆弱性PoCによる能力拡大

調査の中では、Silent Lynxの攻撃基盤がさらに拡大している兆候も捉えられている。

攻撃者に関連する一般公開された3箇所のステージング用ディレクトリ（攻撃ツールやデータの保管場所）から、Linux環境に対応したツール群に加え、フォーティネット（Fortinet）のWebアプリケーションファイアウォール製品「FortiWeb」に存在するSQLインジェクション脆弱性「CVE-2025-25257」に対する公開実証コード（PoC：脆弱性の概念実証コード）が保管されているのが見つかった。研究チームは、攻撃者が既存のWindows環境を狙った手法にとどまらず、運用可能なサイバー攻撃能力を拡大させている可能性があると指摘している。