Brecha no WinRAR é usada para espionar governos em nove países

Uma ofensiva coordenada de espionagem digital atingiu ministérios e estruturas estatais de pelo menos nove nações, valendo-se de uma falha de segurança no descompactador de arquivos WinRAR. O ataque, atribuído a uma célula hacker conhecida como Silent Lynx — com provável base de operações no Cazaquistão —, teve como alvos pastas estratégicas de relações exteriores, economia e gestão de recursos naturais na Ásia Central e em territórios vizinhos, conforme revelaram relatórios das empresas de cibersegurança Cisco Talos e Recorded Future na última quarta-feira (14).

A atividade dos invasores ocorreu de maneira ininterrupta de junho de 2025 até agosto deste ano. Por meio de disparos massivos de e-mails contendo documentos adulterados e anexos fraudulentos, os agentes infectaram computadores de servidores e autoridades públicas. A lista de nações afetadas inclui Cazaquistão, Quirguistão, Uzbequistão, Tajiquistão, Turcomenistão, Armênia, Azerbaijão, Rússia e Belarus.

Como funcionava a invasão

O vetor central da ofensiva recente foi a vulnerabilidade catalogada como CVE-2025-8088 no WinRAR. Quando uma vítima executava o arquivo compactado malicioso, o sistema operacional instalava de forma silenciosa um software espião de acesso remoto diretamente na pasta de inicialização do Windows. O mecanismo garantia que os cibercriminosos mantivessem uma porta aberta contínua no terminal a cada reinicialização da máquina.

“A atividade sustentada do grupo e a adoção de novas técnicas de entrega sugerem que ele continuará buscando acesso a organizações governamentais na Ásia Central e na região”, afirmou a pesquisadora Ashley Shen, da Cisco Talos, em análise sobre o alcance das invasões.

Foco em hidrografia, energia e relações exteriores

A escolha dos alvos sinaliza um forte interesse geopolítico. Mensagens com temas customizados foram enviadas para capturar dados confidenciais: uma das iscas simulava correspondências do Ministério dos Negócios Estrangeiros da Armênia, enquanto outra forjava comunicações da companhia Turkmennebit com propostas comerciais para a refinaria russa de Orsk.

Outro pilar da espionagem envolveu o setor hídrico. Como grande parte da agricultura e da matriz energética da Ásia Central depende de bacias compartilhadas entre fronteiras, a água é tratada como questão crítica de defesa. Levantamento da empresa VMRay apontou que operadores de gás, companhias de eletricidade e instalações de recursos hídricos do Quirguistão, Tajiquistão e Uzbequistão foram vigiados de perto.

Os especialistas também detectaram preparativos para novas investidas dentro dos servidores do Silent Lynx. Foram localizados códigos para exploração de vulnerabilidades de injeção de SQL contra a ferramenta FortiWeb, da Fortinet, além de artefatos maliciosos desenvolvidos especificamente para servidores Linux.

Erros operacionais entregaram os hackers

Embora tenham utilizado mecanismos avançados para enganar defesas corporativas, os invasores falharam na própria segurança. Diretórios e servidores de armazenamento do coletivo ficaram expostos na internet aberta, viabilizando o mapeamento detalhado da criação dos malwares e da arquitetura dos ataques.

O cruzamento de dados sobre horários de conexão, rotinas de comandos e pausas nas campanhas revelou compatibilidade direta com o fuso horário e feriados oficiais do Cazaquistão, incluindo celebrações como o Dia Internacional da Mulher e as festividades do Nauryz.

“Seu interesse em agências ambientais, ministérios econômicos e infraestrutura de energia reflete o valor de inteligência da diplomacia regional e da gestão de recursos”, destacou a equipe da Cisco Talos, ao detalhar como os dados roubados podem ser utilizados para fins geopolíticos.

Para conter novas ameaças, analistas recomendam que órgãos governamentais e companhias privadas apliquem patches e atualizem ferramentas de compactação, controlem a execução de scripts suspeitos em PowerShell e bloqueiem a inclusão de aplicações não homologadas na inicialização do sistema.