哈萨克斯坦黑客组织Silent Lynx中亚间谍活动曝光

哈萨克斯坦黑客组织Silent Lynx中亚间谍活动曝光

2026年10月14日发布的新调查结果显示，一个针对中亚政府机构进行网络间谍活动的黑客组织可能从哈萨克斯坦境内运作。该组织被研究人员命名为Silent Lynx，其手法包括劫持官方电子邮件账户，以此入侵政府计算机系统。由于黑客部分工作文件未受保护地暴露在网上，研究人员得以分析其攻击准备与调整过程。攻击目标包括掌握地区外交和自然资源信息的机构。

调查背景与实施方

此次调查由美国网络安全公司Recorded Future与思科旗下安全研究团队Talos联合进行。两家公司均未确认黑客是否受某国政府雇佣。早在2025年1月，印度网络安全公司Seqrite就将该组织命名为Silent Lynx。其调查发现，黑客曾从吉尔吉斯斯坦中央银行一名员工的被劫持账户发送恶意邮件，利用真实官员地址使危险附件看起来像常规业务往来。

攻击手法与目标

其中一封邮件声称原本发给吉尔吉斯斯坦财政部的信件被误发至中央银行，附件伪装成联合国会议邀请，实则包含恶意程序。运行后，黑客可向收件人计算机发送指令，并通过Telegram聊天控制文件传输。在相关攻击中，调查人员发现黑客复制文件并收集浏览器保存的密码。一名受害者的桌面上存有名为passwords.txt的文件，被攻击者窃取，可能用于访问其他账户。德国网络安全公司VMRay和独立研究员Pol Thill于2026年2月记录了这些盗窃行为。

暴露的基础设施与追踪线索

Talos的Ashley Shen和Recorded Future的Julian-Ferdinand Vögele发现三个在线文件夹，黑客将攻击软件和其他工具公开存放在其中。一个文件夹中的程序引导研究人员找到GitHub账户。GitHub保留文件早期版本，使研究人员能够看到黑客如何修改软件并更改用于控制受感染计算机的IP地址。2026年4月发现的一个攻击文件利用了WinRAR解压缩软件的漏洞，旨在安装用户下次登录时启动的软件。WinRAR已于2025年7月更新修复该漏洞，但未更新的计算机仍可能受攻击。

情报收集意图

早期攻击的受害者包括吉尔吉斯斯坦的水利和水电机构，以及乌兹别克斯坦和塔吉克斯坦的水务相关机构。在该地区，上游决策影响下游农业，因此获取水资源记录可能具有价值。哈萨克斯坦水资源和灌溉部估计，该国长期平均地表水供应的44.3%来自跨境河流。2026年，哈萨克斯坦、塔吉克斯坦和乌兹别克斯坦就Bahri Tojik水库夏季放水达成协议，以灌溉哈萨克斯坦南部农田。Recorded Future的新报告发现，塔吉克斯坦一家经济发展机构的计算机与黑客使用的服务器通信，并检测到与乌兹别克斯坦Smart Forestry倡议相关的计算机系统活动。这些连接并未确定是否有信息被窃取。

溯源与未来展望

2022年，黑客使用的一个程序创建后仅86秒，就从哈萨克斯坦上传至VirusTotal。Recorded Future和Talos在联合研究论文中描述了此次上传，认为这是攻击者测试新工具。GitHub记录显示，黑客通常在哈萨克斯坦时间上午9点至下午6点之间保存修订版攻击程序，符合白天办公时间。一份保存记录还显示，操作员在键盘设置为俄语时尝试输入英文命令。Talos怀疑黑客从哈萨克斯坦运作，但评估置信度为中等。两家公司预计该活动将继续，指出该组织具有持久性并采用新的入侵方式，可能进一步针对管理外交和自然资源的政府机构。

Дереккөз: Times of Central Asia

图片: Image: TCA / Times of Central Asia