Minacce · 14 ore fa
Silent Lynx ha aggiunto WinRAR alla propria catena d’attacco contro enti pubblici del CIS. Nel set di campagne osservato da giugno 2025 ad agosto 2026, il gruppo usa archivi confezionati ad hoc per sfruttare CVE-2025-8088 e piazzare PickleShell nella cartella Startup di Windows, insieme ad altri loader e reverse shell come FoalShell, Chvost e Laplas.
Il punto non è solo l’apertura di un archivio malevolo. L’archivio scrive file in un percorso che Windows avvia automaticamente al login, così un singolo passaggio di estrazione può diventare una foothold che si rialza a ogni riavvio. Per questo le difese che si fermano a macro e allegati non vedono tutta la catena, e la compromissione può restare attiva anche dopo il primo accesso iniziale.
Per chi difende ambienti Windows in governi ed energia del CIS, il segnale è un attacco di persistenza più che un semplice file exploit. La combinazione tra archive abuse e più catene di infezione indica che il perimetro da monitorare non è un solo vettore di consegna, ma il punto in cui un file benigno in apparenza può tradursi in esecuzione ricorrente sulla macchina.
Sfruttamento noto · CISA KEV
CVSS 8.8 HIGH: a path traversal vulnerability affecting the Windows version of WinRAR allows the attackers to execute arbitrary code by crafting malicious archive files. EPSS 94% (100º percentile).
Data di correzione federale CISA 2 set · data superata
1 fonte che coprono questa storia
Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks
Silent Lynx exploited WinRAR CVE-2025-8088 to place PickleShell in the Windows Startup folder during attacks on CIS governments.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-10-16