Хакеры Silent Lynx нацелились на Орский нефтеперерабатывающий завод, который поставляет топливо в Казахстан. Специалисты обнаружили следы группировки в девяти странах и нашли признаки её связи с Казахстаном. Однако кто управляет шпионами и зачем им российский НПЗ, пока неясно.
Специалисты Cisco Talos и Recorded Future* изучили операции Silent Lynx, также известной как UAT-6275 и TAG-193. Группировка действует как минимум с 2024 года, охотясь за сведениями из государственных учреждений, дипломатических ведомств и организаций, связанных с природными ресурсами. В поле зрения попали Россия, Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан и Беларусь.
Особый интерес вызвал Орский НПЗ. В августе 2025 года хакеры подготовили поддельное предложение о сотрудничестве между туркменской государственной нефтяной компанией Turkmennebit и российским заводом. Приманка могла использоваться для проникновения в корпоративные сети. В августе 2026 года предприятие остановилось после удара украинского беспилотника, а восстановление, по оценкам исследователей, могло занять до полугода.
Завод поставляет нефтепродукты в Казахстан, поэтому сведения о его работе могут представлять разведывательный интерес. Группировка также проявляла активность в отношении государственных структур Таджикистана и Беларуси накануне важных дипломатических событий. Исследователи не утверждают, что операции проводились по заказу казахстанских властей, а связь между кибератаками и конкретными политическими решениями остаётся недоказанной.
Раскрыть подробности помогли ошибки самих злоумышленников. Эксперты обнаружили три открытых каталога с вредоносными инструментами и репозиторий GitHub, где сохранилась история изменений. Находки позволили проследить разработку программ, смену управляющих серверов и подготовку новых атак. Среди обнаруженных инструментов оказались Chvost, Laplas и PickleShell, предоставляющие удалённый доступ к заражённым компьютерам.
Для проникновения Silent Lynx применяла документы Word с вредоносными макросами, загрузчики PowerShell и поддельные ярлыки. В апреле 2026 года появился архив, эксплуатирующий CVE-2025-8088 в WinRAR. Эксплойт помещал PickleShell в автозагрузку Windows. На серверах группировки также нашли инструменты для Linux и код эксплуатации CVE-2025-25257 в FortiWeb, хотя его применение в атаках не подтверждено.
Связь с Казахстаном специалисты оценивают со средней уверенностью. На возможное происхождение указывают русскоязычные артефакты, отправка образцов вредоносных программ на проверку из Казахстана и рабочий график операторов, соответствующий часовому поясу UTC+5.
Ранее Silent Lynx уже атаковала банки и финансовые ведомства Кыргызстана с помощью поддельных документов о премиях. Эксперты также обнаружили сходство с YoroTrooper, однако пока не объединяют группировки окончательно. Новые находки показывают, насколько разнообразными стали инструменты кибершпионажа в Центральной Азии, но не позволяют однозначно установить заказчиков операций.
* Recorded Future признана нежелательной организацией на территории Российской Федерации.
