Silent Lynx exploite une faille WinRAR pour installer une reverse shell

Contexte de l'attaque

Le groupe de menace Silent Lynx a été identifié comme l’auteur d’une campagne ciblant des institutions gouvernementales du Commonwealth of Independent States (CIS). Les rapports indiquent que l’opération repose sur une vulnérabilité non spécifiée du logiciel d’archivage WinRAR, largement déployé dans les environnements de bureau et de serveur. L’absence de correctif appliqué sur les machines compromises a permis à l’acteur de pénétrer le périmètre de sécurité sans déclencher d’alerte immédiate.

Mécanisme d'exploitation de WinRAR

WinRAR traite les archives ACE et d’autres formats compressés via un moteur de désarchivage natif. La faille exploitable réside dans la désérialisation de données malformées, ce qui conduit à l’exécution de code arbitraire lors de l’ouverture d’un fichier spécialement conçu. Silent Lynx a intégré un chargeur malveillant dans l’archive, déclenchant ainsi le code hostile dès que l’utilisateur a cliqué sur le fichier joint.

Déploiement de la reverse shell

Une fois le code exécuté, le chargeur initialise une connexion sortante vers un serveur de commande et contrôle (C2) contrôlé par Silent Lynx. La technique employée est une reverse shell, où la machine victime ouvre une session réseau vers le serveur distant, contournant les règles de pare-feu qui bloquent les connexions entrantes. Le protocole utilisé n’est pas détaillé, mais le modèle typique implique un canal TCP chiffré pour masquer le trafic malveillant parmi les flux légitimes.

Implications pour les entités gouvernementales du CIS

Les gouvernements du CIS, souvent soumis à des exigences de conformité strictes, voient leurs réseaux exposés à des vecteurs d’intrusion basés sur des outils bureautiques courants. L’exploitation de WinRAR montre que les chaînes d’approvisionnement logicielles restent une surface d’attaque viable. Sans mise à jour systématique des correctifs, les systèmes restent vulnérables à des scénarios similaires, augmentant le risque de compromission de données sensibles et de perturbation des services critiques.