Хакеры с казахстанским акцентом нацелились на российский НПЗ и пробрались в сеть администрации Нижнего Новгорода

Группировка Silent Lynx, которую исследователи предположительно связывают с Казахстаном, годами шпионила за госструктурами стран СНГ, нацелилась на Орский НПЗ и проникла в сеть администрации Нижнего Новгорода. Об этом 14 октября 2026 года сообщило Reuters со ссылкой на совместное расследование Cisco Talos.

Cisco Talos отслеживает эту активность под обозначением UAT-6275, у Recorded Future* та же группа проходит как TAG-193. Расследованием занимались Чи-эн Шен из Cisco Talos и Джулиан-Фердинанд Фёгеле из Insikt Group, они разобрали операции с 2025 года по август 2026 года. В список целей вошли ведомства Казахстана, Кыргызстана, Таджикистана, Туркменистана, Узбекистана, Армении, Азербайджана, России и Беларуси, и интересовали хакеров следующие области:

• международные отношения и дипломатия;
• экономическое развитие и торговля;
• сельское хозяйство и экология;
• водные ресурсы, лесное хозяйство и энергетика.

Орский НПЗ «Орскнефтеоргсинтез» стоит примерно в 25 км от казахстанской границы, и часть его продукции уходит в Казахстан. Ресёрчеры нашли приманку от августа 2025 года, оформленную как предложение о сотрудничестве между «Туркменнебитом» и руководством завода. Сам по себе документ доказывает интерес к цели, но не взлом, а подробностей проникновения в открытых материалах мало.

Интересно, что в августе 2026 года завод атаковал беспилотник. В Cisco Talos допустили, что хакеров интересовали поставки топлива и влияние конфликта на энергетику Казахстана.

В случае с администрацией Нижнего Новгорода исследователи нашли свидетельства проникновения в муниципальную сеть. Власти города и представители НПЗ не ответили на запросы Reuters.

Silent Lynx заходит в сети через целевой фишинг, и вместо спама про посылку сотрудник получает дипломатическое обращение в МИД Армении, форму по использованию воздушного пространства Туркменистана или коммерческое предложение от знакомой организации. Чем ближе приманка к рабочим задачам жертвы, тем выше шанс, что вложение откроют без лишних вопросов. Цепочки заражения менялись по ходу кампании:

• в июне 2025 года использовались документы Word с макросами, которые загружали следующий компонент;
• в июле 2025 года появились загрузчики на PS2EXE, они упаковывали скрипты PowerShell в exe-файлы и создавали задания планировщика;
• в октябре 2025 года ссылка запускала PowerShell, а тот тянул скрипт с GitHub, позже к нему добавился PickleShell в автозагрузке;
• в апреле 2026 года в ход пошёл эксплойт для WinRAR.

WinRAR в российских офисах привычен, как чайник в переговорке, и уязвимость CVE-2025-8088 позволила группировке положить PickleShell прямо в автозагрузку Windows. После следующего входа пользователя вредонос стартовал сам. По данным Cisco Talos, это первый случай, когда Silent Lynx применила эксплойт для доставки малвари.

Стоит обратить внимание, что рабочая утилита, которую годами никто не трогает, превратилась в звено атаки, и апдейт WinRAR сегодня нужен не меньше, чем фильтр на почтовом шлюзе.

В арсенале нашлись не только инструменты под Windows:

• обратные оболочки Chvost, Laplas и PickleShell для удалённого управления заражёнными машинами;
• инструменты, совместимые с Linux;
• публичный PoC для уязвимости CVE-2025-25257 в FortiWeb, применение которого в реальных атаках не подтвердили.

Хакеры сами помогли исследователям и оставили в открытом доступе три каталога с вредоносными файлами и репозиторий на GitHub с журналом коммитов. Забытая папка с малварью знакома любому разработчику, только обычно там лежат дампы прода и пароли в txt.

Казахстанский след ресёрчеры оценивают по косвенным признакам. В файлах встречались материалы на русском языке, часть образцов отправляли на проверку из Казахстана вскоре после компиляции, а активность операторов и коммиты на GitHub укладывались в рабочий день по UTC+5. Cisco Talos оценивает связь с Казахстаном со средней степенью уверенности, ведь часовой пояс можно подделать, а серверы держать в любой стране.

Олег Шакиров, исследователь киберполитики и конфликтов в Школе международных исследований Университета Джонса Хопкинса, обратил внимание на то, что цифровой шпионаж давно вышел за пределы нескольких крупнейших кибердержав и другие государства наращивают собственные возможности. Подтверждения, что Silent Lynx работает по поручению Казахстана, в отчёте нет, как нет и точной связи между всеми эпизодами и дипломатическими решениями. Российским ИБ-командам имеет смысл прогнать чек-лист сегодня, раз уж в списке целей фигурируют и НПЗ, и мэрия:

• обновить WinRAR и другое прикладное ПО;
• проверять неожиданные вложения, даже от знакомых ведомств;
• мониторить запуск PowerShell, задания планировщика и изменения папки автозагрузки;
• защитить корпоративную почту, чтобы с неё не рассылали приманки от имени настоящих сотрудников.

Эксперты CISOCLUB отметили, что кейс Silent Lynx показывает рост числа региональных игроков в кибершпионаже, у которых нет бюджета супердержав, зато есть терпение и базовый набор инструментов. Фишинг с правдоподобным документом остаётся самым дешёвым способом войти в сеть, а публичные эксплойты для WinRAR и FortiWeb расширяют набор отмычек почти даром. Скрипты на GitHub затрудняют первичный разбор, потому что запрос к популярному ресурсу не вызывает подозрений.

Привязка образца к конкретной жертве требует отдельных доказательств, поэтому громкие заголовки про взлом НПЗ стоит читать с поправкой на формулировки отчёта. Сегментация сети, контроль PowerShell и инвентаризация серверов с Linux закрывают большую часть описанных цепочек. Атрибуция по часовому поясу и языку остаётся оценкой, и политические выводы из неё строить рано.

Ранее сообщалось, что за неделю несколько европейских компаний розничной торговли столкнулись с киберинцидентами. Нидерландская Ahold Delhaize 12 октября отключила часть систем после выявления вторжения, а британская TFG London 13 октября сообщила о расследовании инцидента в ИТ-инфраструктуре брендов Phase Eight, Hobbs и Whistles. Ещё 6 октября пользователи приложения ASOS получили необычное уведомление о взломе компании. H&M также проверяет информацию о возможной компрометации, но пока не обнаружила признаков атаки. Данных, подтверждающих связь между перечисленными происшествиями, нет.

*Генеральная прокуратура РФ признала нежелательной деятельность в России американской НПО Recorded Future (RF)

* Recorded Future — организация, признанная нежелательной в России в соответствии с решением Генпрокуратуры РФ.