كشفت تقارير استخبارات التهديدات عن تصاعد أنشطة مجموعة التجسس السيبراني المعروفة باسم Silent Lynx، بعد رصد سلسلة جديدة من الهجمات التي استهدفت مؤسسات حكومية في دول رابطة الدول المستقلة (CIS)، مستخدمة أساليب اختراق متعددة شملت مستندات مايكروسوفت أوفيس الخبيثة وأرشيفات WinRAR المعدلة لاستغلال ثغرات أمنية حديثة والحصول على وصول دائم إلى الأنظمة المستهدفة.
ووفقًا لنتائج مشتركة نشرتها كل من Cisco Talos وRecorded Future، فقد استمرت الحملة بين يونيو 2025 وأغسطس 2026، واعتمدت على أربع سلاسل إصابة مختلفة تهدف في نهاية المطاف إلى زرع أدوات وصول عن بُعد متقدمة تمنح المهاجمين قدرة تفاعلية كاملة على الأجهزة المصابة.
وتعكس الحملة تطورًا ملحوظًا في مستوى تعقيد المجموعة، لا سيما مع انتقالها من أساليب التصيد التقليدية إلى استغلال الثغرات الأمنية بشكل مباشر في برامج مستخدمة على نطاق واسع مثل WinRAR، في خطوة تشير إلى توسع قدراتها الهجومية وارتفاع مستوى النضج العملياتي لديها.
استهداف حكومي واسع في تسع دول
بحسب الباحثين الأمنيين، تركزت عمليات المجموعة بشكل رئيسي على دول آسيا الوسطى ومنطقة رابطة الدول المستقلة، حيث تم رصد ضحايا وحملات انتحال مرتبطة بتسع دول هي كازاخستان وقيرغيزستان وطاجيكستان وتركمانستان وأوزبكستان وأرمينيا وأذربيجان وروسيا وبيلاروسيا.
وشملت الجهات المستهدفة وزارات ومؤسسات حكومية وهيئات دبلوماسية وبنوكًا مدعومة من الحكومات ومراكز أبحاث استراتيجية، ما يعكس اهتمام المجموعة بجمع معلومات سياسية واقتصادية واستخباراتية ذات قيمة عالية.
وكان اسم Silent Lynx قد برز للمرة الأولى علنًا مطلع عام 2025 بعد رصد هجماتها ضد سفارات ومؤسسات حكومية في قيرغيزستان وتركمانستان، فيما يرجح الباحثون أنها تنشط فعليًا منذ عام 2020 على الأقل.
كما تشير التحليلات إلى وجود تقاطعات عملياتية بينها وبين مجموعات تجسس أخرى معروفة في المنطقة، مثل YoroTrooper وShadowSilk وCavalry Werewolf وTomiris، رغم عدم العثور على تطابق مباشر في الأدوات أو البنية التحتية المستخدمة.
أربع سلاسل هجوم متطورة للتسلل إلى الأنظمة
اعتمدت المجموعة خلال الفترة الأخيرة على أربعة مسارات مختلفة لتنفيذ عمليات الاختراق، ما يعكس مرونة كبيرة في تغيير آليات الإصابة وفقًا لطبيعة الضحايا المستهدفين.
في يونيو 2025 استخدمت مستندات Microsoft Word تحتوي على وحدات ماكرو خبيثة تقوم بتنزيل حمولات برمجية إضافية وتشغيلها على الأجهزة المستهدفة.
أما في يوليو 2025 فانتقلت إلى استخدام أدوات مبنية بواسطة PS2EXE، وهي أداة تسمح بتحويل نصوص PowerShell إلى ملفات تنفيذية لويندوز، بهدف تنزيل برمجيات الوصول العكسي وإنشاء مهام مجدولة لضمان الاستمرارية بعد إعادة تشغيل النظام.
وفي أكتوبر 2025 استخدمت المجموعة ملفات اختصار خبيثة LNK مخبأة داخل أرشيفات RAR، حيث تقوم بتشغيل أوامر PowerShell لتنزيل نصوص برمجية مستضافة على GitHub تمنح المهاجمين وصولًا عن بُعد إلى الأجهزة المصابة.
كما تضمنت النسخ الأحدث من هذه العمليات تنزيل أداة PickleShell وإيداعها داخل مجلد بدء التشغيل في ويندوز، ما يضمن تشغيلها تلقائيًا عند كل عملية تسجيل دخول.
استغلال ثغرة WinRAR يمثل نقطة تحول
شهد أبريل 2026 تحولاً مهمًا في تكتيكات المجموعة، إذ لجأت للمرة الأولى إلى استغلال ثغرة أمنية معروفة في برنامج WinRAR تحمل الرمز CVE-2025-8088.
واستخدم المهاجمون أرشيفات RAR معدلة خصيصًا تستغل الثغرة لإيداع برمجية PickleShell مباشرة في مجلد Startup داخل نظام ويندوز دون الحاجة إلى خطوات إضافية من جانب الضحية.
ويرى الباحثون أن هذه الخطوة تمثل تطورًا مهمًا في القدرات التقنية للمجموعة، لأنها تشير إلى الانتقال من الاعتماد على الخداع الهندسي الاجتماعي فقط إلى دمج استغلال الثغرات الأمنية ضمن سلسلة التسلل.
كما يعكس استغلال ثغرة معروفة وموثقة توجهًا نحو تحقيق معدلات إصابة أعلى وتقليل فرص اكتشاف الهجوم في مراحله الأولى.
برمجيات وصول عكسي مخصصة لجمع المعلومات
تنتهي جميع سلاسل الإصابة تقريبًا بنشر أدوات وصول عكسي مخصصة طورتها المجموعة خصيصًا لعملياتها.
ومن بين هذه الأدوات:
- FoalShell
- Chvost
- Laplas
- PickleShell
وتتيح هذه البرمجيات للمهاجمين تنفيذ أوامر تفاعلية على الأجهزة المخترقة، ونقل الملفات، وجمع البيانات، وتشغيل أدوات إضافية، والحصول على سيطرة مستمرة طويلة الأمد على الأنظمة المستهدفة.
ويؤكد الباحثون أن المجموعة تولي اهتمامًا خاصًا للمؤسسات المرتبطة بالدبلوماسية الإقليمية وإدارة الموارد الطبيعية والطاقة، وهو ما ظهر بوضوح في موضوعات الرسائل الاحتيالية المستخدمة خلال الهجمات.
فقد تضمنت الطعوم الإلكترونية خطابات دبلوماسية موجهة إلى وزارة الخارجية الأرمينية، ونماذج تتعلق بمجال الطيران في تركمانستان، ومقترحات أعمال مرتبطة بمصفاة أورسك النفطية في روسيا، وهي موضوعات مصممة بعناية لاستهداف مسؤولين وموظفين داخل جهات بعينها.
مؤشرات على توسع النشاط الهجومي
رصد الباحثون أيضًا ثلاثة أدلة عامة مرتبطة بالبنية التحتية للمجموعة تحتوي على أدوات مخصصة لأنظمة لينكس، بالإضافة إلى نموذج استغلال متاح علنًا لثغرة FortiWeb المسجلة تحت الرقم CVE-2025-25257.
ويشير هذا الاكتشاف إلى احتمال توسيع نطاق العمليات مستقبلًا ليشمل استهداف خوادم وتطبيقات الويب إلى جانب بيئات ويندوز التقليدية.
كما تكشف الحملة عن استمرار اهتمام المجموعة بقطاعات المياه والطاقة والاقتصاد والبيئة في آسيا الوسطى، وهي قطاعات ترتبط بشكل مباشر بالأمن القومي والاستقرار الاقتصادي للدول المستهدفة.
ويرى خبراء الاستخبارات السيبرانية أن اعتماد Silent Lynx على تقنيات جديدة ومتعددة، إلى جانب استغلالها للثغرات الأمنية واستخدامها أدوات وصول عكسي مخصصة، يشير إلى أنها ستظل واحدة من أبرز مجموعات التجسس النشطة في منطقة آسيا الوسطى ورابطة الدول المستقلة خلال الفترة المقبلة، مع احتمال توسع عملياتها نحو أهداف حكومية وبنى تحتية استراتيجية إضافية.
