Silent Lynx: Orta Asya ve BDT Hükümetlerine WinRAR CVE-2025-8088 ile Casusluk

Selam arkadaşlar,

Cisco Talos ve Recorded Future'ın Insikt Group ekibi, 14 Ekim 2026'da ortak bir araştırma yayımladı. Konu, Orta Asya ve Bağımsız Devletler Topluluğu (BDT) ülkelerindeki hükümet kurumlarını hedef alan bir siber casusluk grubu. Talos bu grubu UAT-6275, Recorded Future TAG-193 olarak izliyor; faaliyet, Seqrite'ın ilk kez raporladığı Silent Lynx ile örtüşüyor. Hedef listesinde Kazakistan, Kırgızistan, Türkmenistan, Özbekistan ve Azerbaycan gibi Türk dünyası ülkelerinin de olması, konuyu bizim için ayrıca ilginç kılıyor.

Haberin teknik açıdan dikkat çeken kısmı şu: Grup, Nisan 2026'da ilk kez bir yazılım açığını, WinRAR'daki CVE-2025-8088'i, zararlı yazılım dağıtım zincirine eklemiş.

Konuda Anlatılacaklar

1. Grup kim, kimleri hedef alıyor?
   
2. Diplomasi, su ve enerji ilgisi
   
3. Dört enfeksiyon zinciri
   
4. WinRAR CVE-2025-8088 zinciri (Chain D)
   
5. Açıkta kalan altyapı ve Kazakistan bağlantısı değerlendirmesi
   
6. Savunma ve tespit önerileri
   
7. Kaynaklar
   

Grup Kim, Kimleri Hedef Alıyor?

Talos'a göre incelenen kampanyalarda görülen kurbanlar ve yem temaları dokuz ülkeye yayılıyor: Kazakistan, Kırgızistan, Tacikistan, Türkmenistan, Özbekistan, Ermenistan, Azerbaycan, Rusya ve Belarus. Recorded Future ise 2025 başından Mayıs 2026'ya kadar olan kampanyalarda Rusya, Tacikistan, Belarus, Ermenistan ve Özbekistan'daki hükümet kurumlarını içeren faaliyet tespit ettiğini belirtiyor.

Talos, Seqrite'ın Silent Lynx'i ilk kez Ocak 2025'te raporlamasından bu yana bölgede Mayıs 2026'ya kadar en az sekiz kampanya tespit ettiğini söylüyor. Bunlar arasında Rusya, Türkmenistan ve Özbekistan'a yönelik zararlı yazılım dağıtımı ile Azerbaycan Kamu Hizmetleri Devlet Ajansı'nı taklit eden bir kimlik bilgisi toplama sitesi de var.

Talos, grubu daha geniş bir kümenin parçası olarak görüyor: 2023'te ilk kez raporladığı YoroTrooper ile aynı geniş faaliyet kümesine ait olabileceğini değerlendiriyor, ama ikisi arasında doğrudan gösterge ya da araç örtüşmesi görmediği için onları ayrı izlemeye devam ediyor. Tomiris, ShadowSilk, Cavalry Werewolf ve Hydra Saiga gibi başka firmaların raporladığı kümelerle de örtüşen göstergeler bulunduğunu belirtiyor.

Diplomasi, Su ve Enerji

Grubun ilgi alanı oldukça belirgin. Hedefler arasında diplomasi, ekonomik kalkınma, tarım ve çevre yönetiminden sorumlu kurumlar var. Talos'un ağ akışı analizine göre:

• Mart 2026'da Kazakistan ile yürütülen antlaşma görüşmelerinin hemen ardından bir Tacik hükümet kurumunu içeren faaliyet görülmüş.
  
• Nisan'daki ikili bir görüşme öncesinde bir Belarus hükümet kurumunu içeren faaliyet tespit edilmiş.
  

Recorded Future, bu zamansal ilişkilerin faaliyetin söz konusu gelişmelerle bağlantılı olduğunu kanıtlamadığını, ama grubun hedefleme ilgisi hakkında bağlam sağladığını özellikle vurguluyor.

Yem belgeleri de aynı tabloyu gösteriyor: Ermenistan Dışişleri Bakanlığı'na hitaben yazılmış bir diplomatik mektup, bir Türkmenistan hava sahası başvuru formu ve Türkmenistan devlet petrol şirketi Türkmennebit ile Rusya'daki Orsk Petrol Rafinerisi arasında iş birliği öneren bir belge. Talos ayrıca Ermenistan'da çevreden sorumlu bir hükümet kurumunu ve Özbekistan'ın Smart Forestry (akıllı ormancılık) girişimini içeren faaliyet gözlemlemiş. Recorded Future, grubun sık sık ele geçirilmiş hükümet e-posta hesaplarından hedefli oltalama e-postaları gönderdiğini de not ediyor.

Dört Enfeksiyon Zinciri

Talos, Haziran 2025 - Ağustos 2026 arasında gözlemlenen faaliyette dört zincir tipi tanımlamış:

• Chain A (Haziran 2025): Makro içeren Word belgeleri ikinci aşama bir dosyayı indirip çalıştırıyor.
  
• Chain B (Temmuz 2025): PowerShell betiklerini bağımsız Windows çalıştırılabilirine dönüştüren PS2EXE ile hazırlanmış indiriciler, ters kabuk (reverse shell) yüklerini indirip kalıcılık için zamanlanmış görev oluşturuyor.
  
• Chain C (Ekim 2025): Zararlı bir kısayol (LNK), GitHub'da barındırılan bir PowerShell betiğini çekip çalıştırıyor. Sonraki örnekler PickleShell'i de indirip Windows Başlangıç (Startup) klasörüne yerleştiriyor.
  
• Chain D (Nisan 2026): CVE-2025-8088'i istismar eden hazırlanmış bir RAR arşivi.
  

Grubun kullandığı yükler hafif ve etkileşimli ters kabuklar: Talos Chvost, Laplas ve PickleShell'i, Recorded Future ise LAPLAS, birden fazla FoalShell varyantı ve PowerShell tabanlı ters kabukları sayıyor.



WinRAR CVE-2025-8088 Zinciri

CVE-2025-8088, Windows için WinRAR'da bulunan ve alternatif veri akışları (ADS) kullanılarak gerçekleştirilen bir yol geçişi (path traversal) açığı. ESET'in Ağustos 2025 tarihli araştırmasına göre açık, RomCom grubunun saldırılarında sıfırıncı gün olarak keşfedildi ve dönemin güncel sürümü 7.12'yi de etkiliyordu. Açık WinRAR 7.13 ile kapatıldı; bu sürüm 30 Temmuz 2025'te yayımlandı. ESET, UnRAR.dll'in ya da kaynak kodunun herkese açık Windows sürümlerine dayanan yazılımların da etkilendiğini, özellikle bağımlılıklarını güncellememiş olanların risk altında olduğunu belirtiyor.

Talos'a göre Nisan 2026'da tespit edilen arşiv, bu açığı kullanarak PickleShell'i Windows Başlangıç klasörüne bırakıyor; yük, kullanıcının bir sonraki oturum açışında çalışıyor. Bu, Talos'un UAT-6275'in zararlı dağıtımında gözlemlediği ilk açık istismarı. Recorded Future'a göre bu zincir büyük olasılıkla Ermenistan Dışişleri Bakanlığı'na karşı kullanıldı.

Virus Bulletin 2026 için hazırlanan ortak teknik rapora göre arşiv kullanıcıya iki zararsız PDF gösteriyor, asıl yükü ise ADS kayıtlarında saklıyor ve yük Başlangıç klasörüne rnsdtc.exe adıyla yazılıyor. Yani kullanıcı sadece iki PDF görüyor, ama savunmasız bir WinRAR sürümüyle arşivi açtığında arka planda kalıcılık kurulmuş oluyor.

Bir yıldan eski, yaması çoktan çıkmış bir açığın hâlâ hükümet kurumlarına karşı işe yaradığı düşünülürse, kurum envanterlerinde güncellenmemiş arşiv araçlarının ne kadar yaygın olduğu da anlaşılıyor.

Açıkta Kalan Altyapı ve Kazakistan Bağlantısı

Araştırmayı mümkün kılan, grubun kendi operasyonel güvenlik hataları. Talos, herkese açık üç hazırlık (staging) dizini ve daha önce raporlanmamış bir GitHub deposu buldu. Deponun commit geçmişi, altyapı değişikliklerini ve zararlı yazılım geliştirmesini izlemeyi sağladı.

Bu altyapıda Linux uyumlu araçlar ve FortiWeb CVE-2025-25257 için herkese açık bir kavram kanıtı (PoC) istismarı da bulundu. Talos bunun grubun yeteneklerini genişletmeye ilgi duyduğunu düşündürdüğünü söylüyor; Recorded Future ise araştırmanın grubun bu FortiWeb açığını sahada istismar ettiğini doğrulamadığının altını çiziyor.

Köken konusunda Talos, UAT-6275'in Kazakistan bağlantılı olduğunu orta düzeyde güvenle değerlendiriyor. Dayanakları: Rusça dil izleri, derlemeden kısa süre sonra Kazakistan'dan yapılan zararlı test yüklemeleri ve UTC+5 çalışma saatleriyle uyumlu operatör faaliyeti (77 GitHub commit'inin zamanlaması incelenmiş). Recorded Future, bu göstergelerin grubun kurumsal bağlantısını ya da devlet desteğini kanıtlamadığını, bu soruların açık kaldığını ekliyor.

Savunma ve Tespit Önerileri

Talos ve Recorded Future'ın önerileri özetle:

• Beklenmeyen PowerShell faaliyetlerini ve GitHub gibi herkese açık servislerden yapılan yük indirmelerini izleyin.
  
• Zamanlanmış görevleri ve Başlangıç klasörü değişikliklerini takip edin.
  
• Arşiv araçlarını güncel tutun; WinRAR için 7.13 ve sonrası.
  
• Ele geçirilmiş e-posta hesaplarını, güvenilir servislerde barındırılan zararlı içerikleri ve beklenmeyen uzaktan erişim faaliyetlerini izleyin.
  

Kendi Windows makinelerinizde hızlı kontrol için birkaç PowerShell komutu:

Kurulu WinRAR sürümünü görmek:

Kullanıcının Başlangıç klasöründeki dosyaları ve oluşturulma tarihlerini listelemek:

Microsoft dışı yazar bilgisine sahip zamanlanmış görevleri listelemek:

Bu komutlar tek başına kötü niyet göstermez; Başlangıç klasöründe tanımadığınız bir .exe ya da "WindowsUpdate" gibi meşru isim taklidi yapan bir görev görürseniz ayrıntılı inceleme yapın. Talos, ClamAV imzalarını ve Snort kurallarını blog yazısında, IOC'leri ise GitHub deposunda paylaştı; SOC ekipleri bunları doğrudan kendi araçlarına alabilir.



Türk cumhuriyetlerindeki kamu kurumlarıyla iş yapan, oralarda ofisi olan ya da bu ülkelerden gelen yazışmaları işleyen Türk şirketleri de yem belgeleriyle karşılaşabilir; ele geçirilmiş resmi hesaplardan gelen e-postalar en dikkatli kullanıcıyı bile kandırabiliyor. Sizin kurumunuzda arşiv araçlarının sürümlerini merkezi olarak takip ediyor musunuz? Yorumlarda paylaşın.

Kaynaklar

• Cisco Talos - Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations (14 Ekim 2026): https://blog.talosintelligence.com/break...nizations/
  
• Recorded Future - TAG-193's Regional Espionage Operations: https://www.recordedfuture.com/blog/tag1...operations
  
• Virus Bulletin 2026 - Break the silence: tracking Silent Lynx through exposed infrastructure (ortak teknik rapor, PDF): https://www.virusbulletin.com/uploads/pd...ucture.pdf
  
• ESET WeLiveSecurity - Update WinRAR tools now: RomCom and others exploiting zero-day vulnerability (CVE-2025-8088): https://www.welivesecurity.com/en/eset-r...erability/
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Paylaşılan kontrol ve tespit adımlarını yalnızca sahibi olduğunuz veya yazılı izinle yönettiğiniz sistemlerde uygulayın. İzinsiz erişim, tarama ve sistemlere müdahale, 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).