Un actor de amenaza previamente indocumentado conocido como Lynx silencioso se ha relacionado con ataques cibern\u00e9ticos dirigidos a varias entidades en Kirguist\u00e1n y Turkmenist\u00e1n.<\/p>\n
“Este grupo de amenazas ha atacado previamente a entidades alrededor de Europa del Este y del gobierno de Asia Central Tanks involucrados en la toma de decisiones econ\u00f3micas y el sector bancario”, Investigador de Labios de Seqrite Subhajeet Singha dicho<\/a> En un informe t\u00e9cnico publicado a fines del mes pasado.<\/p>\n Los objetivos de los ataques del grupo de pirater\u00eda incluyen embajadas, abogados, bancos respaldados por el gobierno y think tanks. La actividad se ha atribuido a un actor de amenaza de origen de Kazajst\u00e1n con un nivel medio de confianza.<\/p>\n Las infecciones comienzan con un correo electr\u00f3nico de phishing de lanza que contiene un archivo adjunto de archivo RAR que finalmente act\u00faa como un veh\u00edculo de entrega para cargas \u00fatiles maliciosas responsables de otorgar acceso remoto a los hosts comprometidos.<\/p>\n La primera de las dos campa\u00f1as, detectadas por la compa\u00f1\u00eda de seguridad cibern\u00e9tica el 27 de diciembre de 2024, aprovecha el archivo RAR para lanzar un archivo ISO que, a su vez, incluye un binario C ++ malicioso y un archivo PDF de se\u00f1uelo. Posteriormente, el ejecutable procede a ejecutar un script PowerShell que usa bots de telegrama (llamado “@South_korea145_Bot” y “@South_AFR_ANGL_BOT”) para la ejecuci\u00f3n de comandos y la exfiltraci\u00f3n de datos.<\/p>\n Algunos de los comandos ejecutados a trav\u00e9s de los bots incluyen comandos CURL para descargar y guardar cargas \u00fatiles adicionales desde un servidor remoto (“PweObMXDLBOI[.]com “) o Google Drive.<\/p>\n La otra campa\u00f1a, en contraste, emplea un archivo de rar malicioso que contiene dos archivos: un PDF se\u00f1uelo y un ejecutable de Golang, el \u00faltimo de los cuales est\u00e1 dise\u00f1ado para establecer un shell inverso en un servidor controlado por el atacante (“185.122.171[.]22: 8082 “).<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Lynx-silencioso-usando-cargadores-de-PowerShell-Golang-y-C.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n