Кампания кибершпионажа в Центральной Азии
Новые данные, опубликованные 14 октября, указывают на то, что хакеры, следившие за правительствами стран Центральной Азии, действовали с территории Казахстана. Группа, получившая от исследователей название Silent Lynx, использовала похищенные официальные почтовые аккаунты для проникновения в правительственные компьютеры.
Злоумышленники оставили часть своих рабочих файлов в открытом доступе в интернете, что позволило специалистам изучить, как они готовили и адаптировали атаки. Среди целей оказались ведомства, располагающие информацией о региональной дипломатии и природных ресурсах.
Похищенные официальные почтовые аккаунты
Расследование провели американская компания Recorded Future и исследовательская группа Talos, принадлежащая Cisco. Обе организации не установили, работали ли хакеры на какое-либо государство. Название Silent Lynx группе дала индийская компания Seqrite в январе 2025 года: тогда было выявлено, что злоумышленники рассылали вредоносные письма со взломанного аккаунта сотрудника центрального банка Кыргызстана.
Одно из писем утверждало, что корреспонденция, предназначенная для Министерства финансов Кыргызстана, была ошибочно направлена в центробанк. К нему прилагалось поддельное приглашение на заседание ООН с вредоносной программой. Запуск файла позволял хакерам отдавать команды компьютеру жертвы и передавать файлы через контролируемый чат в Telegram.
В ходе связанных атак исследователи фиксировали копирование документов и сбор паролей, сохранённых в браузерах. У одной из жертв на рабочем столе лежал файл passwords.txt, который похитили и могли использовать для доступа к другим аккаунтам. Эти кражи описали немецкая компания VMRay и независимый исследователь Пол Тилль в феврале 2026 года.
Файлы, которые их выдали
Исследователи Эшли Шен из Talos и Джулиан-Фердинанд Фёгеле из Recorded Future обнаружили три онлайн-папки, где хакеры оставили атакующее ПО и другие инструменты в открытом доступе. Программа из одной папки привела их к аккаунту на GitHub — платформе, где программисты хранят и обмениваются кодом.
GitHub сохраняет предыдущие версии файлов, поэтому исследователи смогли увидеть, как хакеры дорабатывали своё ПО и меняли интернет-адреса для управления заражёнными компьютерами. Смена адреса не стирала историю, что позволило продолжать отслеживание операции.
Обнаруженный в апреле атакующий файл эксплуатировал уязвимость в WinRAR — программе для распаковки сжатых файлов. Он был рассчитан на установку ПО, запускающегося при следующем входе пользователя в систему, что давало хакерам возможность управлять компьютером. Обновление WinRAR от июля 2025 года закрыло уязвимость, но атака по-прежнему работала на компьютерах, где программа не была обновлена.
Более раннее расследование VMRay показало, что некоторые операторы заражали собственные компьютеры, раскрывая исследователям историю своих браузеров.
Что они искали?
Среди жертв предыдущих атак были водохозяйственные и гидроэнергетические учреждения Кыргызстана, а также связанные с водой структуры Узбекистана и Таджикистана. Доступ к водным данным может быть ценным в регионе, где решения выше по течению влияют на сельское хозяйство далеко внизу.
Министерство водных ресурсов и ирригации Казахстана оценивает, что 44,3% долгосрочного среднего объёма поверхностных вод страны поступает из рек, пересекающих её границы. В этом году Казахстан, Таджикистан и Узбекистан, например, договорились о летних сбросах из Бахри-Точикского водохранилища для орошения земель на юге Казахстана.
Новый отчёт Recorded Future выявил компьютеры в таджикском учреждении экономического развития, которые обменивались данными с серверами хакеров. Также зафиксирована активность, связанная с системами инициативы Smart Forestry Узбекистана, собирающей географическую информацию о лесных угодьях. Эти связи не устанавливают, какая именно информация, если она вообще была, оказалась похищена.
Документ от августа 2025 года выдавался за предложение о сотрудничестве от государственной нефтяной компании Туркменистана к Орскому НПЗ в России. По мнению Talos, такая приманка может отражать интерес к региональным поставкам топлива и влиянию войны в Украине на энергетическую безопасность Казахстана. Документ не доказывает, что какая-либо из организаций была успешно взломана.
Recorded Future полагает, что хакеры собирали разведданные о региональной дипломатии и природных ресурсах, хотя точно установить, какая информация интересовала операторов, исследователям не удалось.
След, ведущий в Казахстан
В 2022 году всего через 86 секунд после создания программы, использовавшейся хакерами, она была загружена из Казахстана на VirusTotal — сервис для проверки подозрительных файлов. Recorded Future и Talos описывают эту загрузку в совместной исследовательской работе и считают, что это был тест нового инструмента со стороны атакующего.
Записи GitHub показывают, что хакеры обычно сохраняли обновлённые версии своих атакующих программ между 9:00 и 18:00 по времени Казахстана, что соответствует дневному рабочему графику. Одна из сохранённых записей показала, как оператор пытался вводить команды на английском при русской раскладке клавиатуры. Talos подозревает, что хакеры работали из Казахстана, но оценивает эту версию как среднюю по степени уверенности.
Talos и Recorded Future ожидают продолжения кампании, ссылаясь на настойчивость группы и освоение ею новых способов проникновения в компьютерные системы. Вероятными целями дальнейших атак они называют государственные органы, занимающиеся дипломатией и природными ресурсами.
Дереккөз: Times of Central Asia
Фото: Image: TCA / Times of Central Asia
