В атаках, которые Cisco Talos и Recorded Future связывают с группировкой Silent Lynx, злоумышленники использовали цепочки заражения с WinRAR и ставили на компьютеры reverse shell для удалённого доступа. Кампания тянулась с июня 2025 года по август 2026-го и затронула госорганизации в странах СНГ.

Почти всегда всё начиналось с поддельного документа или архива, который выглядел как обычная служебная переписка. Дальше злоумышленники запускали PowerShell, доставляли загрузчики и закреплялись в системе через папку автозагрузки Windows.

Какую проблему решаем

Такие атаки бьют не по одному компьютеру, а по рабочему контуру целиком. Один открытый архив, один доверчиво загруженный файл — и злоумышленник получает канал для команд, кражи данных и дальнейшего распространения по сети.

Для обычного пользователя вывод простой: опасность несут не только «подозрительные письма», но и привычные архивы, документы с макросами и вложения, которые маскируются под деловые бумаги. Именно так работают многие современные фишинговые кампании, о которых мы уже писали в разборе массовых почтовых атак.

Что подготовить

Перед проверкой и настройкой стоит собрать базовый набор цифровой гигиены:

  • актуальный антивирус или защитный пакет;
  • обновлённый Windows и обновлённый WinRAR;
  • включённый контроль автозагрузки и служб;
  • резервную копию важных файлов;
  • отдельный способ проверки подозрительных вложений, а не рабочий компьютер.

Если вы работаете из кафе, отеля или коворкинга, держите под рукой [инструмент для защищённого подключения]https://freedome.space — как один из элементов общей защиты наряду с менеджером паролей и 2FA. Но он не отменяет главного правила: не открывать сомнительные архивы и документы.

Пошаговые действия

1. Обновите WinRAR и систему

Silent Lynx использовала дыру в WinRAR, чтобы распаковать вредоносную нагрузку и положить её в папку автозагрузки. Если архиватор и сама Windows не обновлены, риск резко растёт.

2. Отключите запуск макросов по умолчанию

В описанной кампании встречались документы с макросами. Для офисных файлов это старая, но до сих пор рабочая схема доставки вредоносного кода.

3. Проверьте автозагрузку

Особое внимание — папке Startup в профиле пользователя и списку программ, которые стартуют вместе с системой. Именно туда атакующие помещали PickleShell, чтобы он запускался при входе в Windows.

4. Относитесь к архивам как к исполняемым файлам

RAR-файл не безопаснее EXE. Если архив пришёл от незнакомого отправителя или содержит странный ярлык, скрипт или документ с необычным именем, лучше остановиться и проверить источник.

5. Разделяйте рабочие роли

Фишинговые письма в кампании маскировались под дипломатические письма, торговые предложения и документы по энергетике. Не открывайте такие вложения с основного администратора или с компьютера, где хранятся критичные данные.

Эта же логика работает и в других атаках на инфраструктуру: уязвимость в одном компоненте превращается в точку входа, а дальше злоумышленник добирается до внутренних систем, как это было в случае с дырой в Nextcloud.

Как проверить себя

После настройки прогоните короткую проверку:

  • обновления Windows установлены;
  • WinRAR обновлён до актуальной версии;
  • макросы в офисных документах не запускаются автоматически;
  • в автозагрузке нет неизвестных записей;
  • антивирус видит архивы и вложения при сканировании;
  • подозрительные письма не открываются с рабочей учётки.

Если у вас в компании есть ИТ-администратор, попросите его отдельно проверить журналы запуска PowerShell, новые задачи планировщика и неожиданные ярлыки в архивах. В таких кампаниях атакующие часто используют штатные средства Windows, поэтому следы легко пропустить.

Что делать, если не получилось

Если обновить WinRAR нельзя сразу или в организации нет централизованного контроля, временно запретите открывать архивы из почты и мессенджеров на рабочих машинах. Для разовых проверок используйте отдельный изолированный компьютер или песочницу.

Если вы уже открыли подозрительный файл, немедленно отключите устройство от сети, смените пароли с другого чистого устройства и передайте компьютер на проверку специалисту. Чем быстрее остановить соединение, тем меньше шансов, что reverse shell успеет закрепиться и уйти дальше по сети.

Практический чек-лист

  • Обновить Windows и WinRAR.
  • Отключить автозапуск макросов в офисных файлах.
  • Проверить папку автозагрузки и планировщик задач.
  • Настроить антивирусное сканирование вложений.
  • Не открывать архивы и документы от неизвестных отправителей.
  • Хранить резервную копию важных данных.
  • Для работы вне офиса держать под рукой [инструмент для защищённого подключения]https://freedome.space и не полагаться только на него.
Поделиться: