Šta se desilo?

Cisco Talos je 14. oktobra 2026. objavio zajedničko istraživanje sa Recorded Future o aktivnosti UAT-6275, odnosno TAG-193, koja se preklapa sa grupom Silent Lynx. Posmatrani uzorci iz perioda jun 2025–avgust 2026. pokazuju četiri načina isporuke malvera, među kojima je zloupotreba WinRAR ranjivosti CVE-2025-8088.

Koga pogađa?

Istraživanje se odnosi na vladine organizacije u Centralnoj Aziji i širem CIS regionu. Posmatrane žrtve i teme mamaca zajedno obuhvataju devet država; to ne dokazuje uspešnu kompromitaciju u svakoj od njih. U ovom izveštaju nisu potvrđene žrtve u Srbiji ili drugim državama Zapadnog Balkana.

Kako se zaštititi?

Ažurirajte WinRAR za Windows na 7.13 ili novije podržano izdanje. Ne omogućavajte makroe u neočekivanim dokumentima i proveravajte neuobičajene priloge drugim kanalom, čak i kada poruka deluje službeno. Pratite PowerShell procese, nove zakazane zadatke i izmene Windows Startup direktorijuma.

Tehnički detalji

CVE-2025-8088 je path traversal ranjivost sa CVSS 4.0 ocenom 8,4; CVE zapis navodi WinRAR za Windows do verzije 7.12. Proizvođač potvrđuje ispravku u 7.13. Talos je u uzorku iz aprila 2026. identifikovao arhivu koja postavlja PickleShell u Startup direktorijum, odakle se pokreće pri narednoj prijavi. Drugi lanci koriste Word makroe, PS2EXE programe za preuzimanje i zlonamerne LNK prečice koje pokreću PowerShell.

Zašto je važno?

Kampanja pokazuje da stari, već ispravljeni propusti ostaju korisni napadačima na neažuriranim računarima. Pronađeni FortiWeb dokaz koncepta na infrastrukturi grupe ukazuje na interesovanje za dodatne mogućnosti, ali sam po sebi ne potvrđuje njegovu upotrebu u napadu.

Preporuka Sajber Radara

Proverite instalirane verzije arhivera i primenite detekcije i indikatore iz originalnog istraživanja. Ako pronađete sumnjive procese ili datoteke, izolujte pogođeni računar i sačuvajte dokaze. Ažuriranje sprečava opisani put eksploatacije, ali ne uklanja automatski već postavljeni malver.