Silent Lynx хакерлерінің Орталық Азиядағы тыңшылық науқаны
2025 жылдың 14 қазанында жарияланған жаңа зерттеу нәтижелері Орталық Азия үкіметтеріне тыңшылық жасаған хакерлер Қазақстаннан жұмыс істеген болуы мүмкін екенін көрсетті. Зерттеушілер «Silent Lynx» деп атаған топ үкіметтік компьютерлерге кіру үшін ұрланған ресми электрондық пошта тіркелгілерін пайдаланған.
Хакерлер өздерінің кейбір жұмыс файлдарын онлайнда қорғаусыз қалдырып, зерттеушілерге олардың шабуылдарды қалай дайындап, бейімдегенін зерттеуге мүмкіндік берді. Олардың нысанасына аймақтық дипломатия және табиғи ресурстар туралы ақпараты бар мекемелер кірді.
Тергеуді АҚШ-та орналасқан киберқауіпсіздік компаниясы Recorded Future және Cisco компаниясының қауіпсіздік зерттеу тобы Talos жүргізді. Екі компания да хакерлердің үкімет үшін жұмыс істегенін анықтай алмады.
Ұрланған ресми электрондық пошта тіркелгілері
Үндістандық киберқауіпсіздік провайдері Seqrite хакерлерге «Silent Lynx» атауын 2025 жылдың қаңтарында берді. Оның тергеуі олардың Қырғызстанның орталық банкіндегі қызметкердің ұрланған тіркелгісінен зиянды электрондық хаттар жібергенін анықтады. Нақты шенеуніктің мекенжайынан келген хабарлама қауіпті тіркемені кәдімгі іскерлік хат сияқты көрсетуі мүмкін.
Бір хабарламада Қырғызстанның Қаржы министрлігіне арналған хаттар қателікпен орталық банкке жіберілгені айтылған. Тіркемеде Біріккен Ұлттар Ұйымының жиналысына шақыру сияқты көрінетін, зиянды бағдарламамен бірге жіберілген файл болған. Оны іске қосу хакерлерге алушының компьютеріне нұсқаулар беруге және Telegram мессенджеріндегі өздері бақылайтын чат арқылы файлдар жіберуге мүмкіндік береді.
Қатысты шабуылдарда тергеушілер хакерлердің құжаттарды көшіріп, веб-браузерлерде сақталған құпия сөздерді жинағанын байқаған. Бір құрбан жұмыс үстелінде passwords.txt файлын қалдырған, оны шабуылдаушылар ұрлап, басқа тіркелгілерге кіру үшін пайдалана алады. Германдық VMRay компаниясы мен тәуелсіз зерттеуші Pol Thill бұл ұрлықтарды 2026 жылдың ақпанында құжаттаған.
Оларды әшкерелеген файлдар
Talos және Recorded Future зерттеушілері Ashley Shen мен Julian-Ferdinand Vögele хакерлер шабуыл бағдарламалық жасақтамасын және басқа құралдарын ашық түрде қолжетімді етіп қалдырған үш онлайн қалтаны тапты. Бір қалтадағы бағдарлама оларды GitHub тіркелгісіне әкелді.
GitHub файлдардың алдыңғы нұсқаларын сақтайды, сондықтан зерттеушілер хакерлердің бағдарламалық жасақтамасын қалай өзгерткенін және жұқтырылған компьютерлерді басқару үшін пайдаланылатын интернет мекенжайларын қалай ауыстырғанын көре алды. Жаңа мекенжайға көшу жазбаны жоймады, бұл тергеушілерге операцияны бақылауды жалғастыруға мүмкіндік берді.
Сәуірде анықталған шабуыл файлы WinRAR бағдарламасындағы осалдықты пайдаланды. Ол пайдаланушы келесі кірген кезде іске қосылатын бағдарламалық жасақтаманы орнатуға арналған, бұл хакерлерге компьютерге нұсқаулар жіберуге мүмкіндік береді. 2025 жылдың шілдесіндегі жаңарту WinRAR осалдығын жойды, бірақ шабуыл пайдаланушылар бағдарламаны жаңартпаған компьютерлерде әлі де жұмыс істей алады.
VMRay-дың бұған дейінгі тергеуі кейбір операторлардың өз компьютерлерін жұқтырып, шолу тарихын зерттеушілерге ашқанын анықтады.
Олар не іздеді?
Бұған дейінгі шабуылдардың құрбандары Қырғызстандағы су және гидроэнергетика мекемелері, сондай-ақ Өзбекстан мен Тәжікстандағы суға қатысты органдар болды. Су ресурстарына қол жеткізу аймақта жоғары ағындағы шешімдер төмендегі егіншілікке әсер ететін жерде құнды болуы мүмкін.
Қазақстанның Су ресурстары және ирригация министрлігінің бағалауы бойынша елдің ұзақ мерзімді орташа жер үсті сумен жабдықталуының 44,3%-ы шекара арқылы ағып келетін өзендерден келеді. Мысалы, биыл Қазақстан, Тәжікстан және Өзбекстан Оңтүстік Қазақстандағы егістік алқаптарын суару үшін Bahri Tojik су қоймасынан жазғы су жіберу туралы келісті.
Recorded Future-дың жаңа есебі Тәжікстанның экономикалық даму мекемесіндегі компьютерлердің хакерлер пайдаланатын серверлермен байланысқанын анықтады. Ол Өзбекстанның орман алқаптары туралы географиялық ақпаратты жинайтын Smart Forestry бастамасымен байланысты компьютерлік жүйелерге қатысты белсенділікті анықтады. Бұл байланыстар қандай ақпараттың ұрланғанын, егер бар болса, анықтамады.
2025 жылдың тамызындағы құжат Түрікменстанның мемлекеттік мұнай концернінің Ресейдің Орск мұнай өңдеу зауытына ынтымақтастық ұсынысы ретінде көрсетілген. Talos бұл азғыру аймақтық отын жабдықтарына және Украинадағы соғыстың Қазақстанның энергетикалық қауіпсіздігіне әсеріне қызығушылықты көрсетуі мүмкін деп санайды. Құжат екі ұйымның да сәтті бұзылғанын дәлелдемейді.
Recorded Future хакерлер аймақтық дипломатия және табиғи ресурстар туралы ақпарат жинаған деп санайды, дегенмен зерттеушілер операторлардың нақты қандай ақпаратты қалағанын анықтай алмады.
Қазақстанға апарар із
2022 жылы хакерлер пайдаланатын бағдарлама жасалғаннан кейін небәрі 86 секунд өткен соң ол Қазақстаннан VirusTotal қызметіне жүктелді. Recorded Future мен Talos бұл жүктемені өздерінің бірлескен зерттеу құжатында сипаттайды және оны шабуылдаушының жаңа құралды сынауы деп санайды.
GitHub жазбалары хакерлердің шабуыл бағдарламаларының өзгертілген нұсқаларын әдетте Қазақстан уақытымен таңғы 9-дан кешкі 6-ға дейін сақтағанын көрсетеді, бұл күндізгі кеңсе кестесіне сәйкес келеді. Сақталған жазба оператордың пернетақта орыс тіліне қойылған кезде ағылшын тіліндегі командаларды енгізуге тырысқанын да көрсетті. Talos хакерлер Қазақстаннан жұмыс істеген болуы мүмкін деп санайды, бірақ өз бағасын орташа сенімділік деңгейінде бағалайды.
Talos пен Recorded Future науқанның жалғасатынын күтеді, топтың табандылығы мен компьютерлік жүйелерге кірудің жаңа тәсілдерін қабылдауын мысалға келтіреді. Олар дипломатия мен табиғи ресурстарды басқаратын мемлекеттік органдарды одан әрі шабуылдардың ықтимал нысаналары ретінде анықтайды.
Дереккөз: Times of Central Asia
Сурет: Image: TCA / Times of Central Asia
