Espías del grupo Silent Lynx tenían como objetivo una refinería rusa; las pistas conducen a Kazajistán, pero se desconoce el motivo.
Archivos olvidados por hackers permitieron reconstruir el cuadro de una campaña secreta.
Los hackers de Silent Lynx se dirigieron a la refinería de Orsk, que suministra combustible a Kazajistán. Especialistas encontraron rastros del grupo en nueve países y hallaron indicios de su vínculo con Kazajistán. Sin embargo, aún no está claro quién controla a los espías ni por qué les interesa la refinería rusa.
Especialistas de Cisco Talos y Recorded Future estudiaron las operaciones de Silent Lynx, también conocida como UAT-6275 y TAG-193. El grupo actúa al menos desde 2024, buscando información de instituciones estatales, misiones diplomáticas y organizaciones vinculadas a los recursos naturales. Estuvo en el punto de mira Rusia, Kazajistán, Kirguistán, Tayikistán, Turkmenistán, Uzbekistán, Armenia, Azerbaiyán y Bielorrusia.
La refinería de Orsk despertó un interés particular. En agosto de 2025 los hackers elaboraron una oferta falsa de colaboración entre la compañía petrolera estatal turcomana Turkmennebit y la planta rusa. La trampa podría haberse usado para infiltrarse en redes corporativas. En agosto de 2026 la instalación quedó fuera de servicio tras el impacto de un dron ucraniano, y la recuperación, según los investigadores, podría llevar hasta medio año.
La planta suministra derivados del petróleo a Kazajistán, por lo que la información sobre su funcionamiento puede tener interés para la inteligencia. El grupo también mostró actividad contra estructuras estatales de Tayikistán y Bielorrusia en vísperas de importantes eventos diplomáticos. Los investigadores no afirman que las operaciones se realizaran por encargo de las autoridades kazajas, y la relación entre los ciberataques y decisiones políticas concretas permanece sin probarse.
Los errores de los propios atacantes ayudaron a revelar detalles. Los expertos encontraron tres catálogos abiertos con herramientas maliciosas y un repositorio en GitHub donde se conservó el historial de cambios. Los hallazgos permitieron seguir el desarrollo de los programas, el cambio de servidores de mando y control y la preparación de nuevos ataques. Entre las herramientas detectadas estaban Chvost, Laplas y PickleShell, que proporcionan acceso remoto a equipos infectados.
Para la intrusión, Silent Lynx empleó documentos de Word con macros maliciosos, descargadores de PowerShell y accesos directos falsos. En abril de 2026 apareció un archivo que explotaba CVE-2025-8088 en WinRAR. El exploit colocaba PickleShell en el inicio automático de Windows. En los servidores del grupo también se hallaron herramientas para Linux y código de explotación CVE-2025-25257 en FortiWeb, aunque no se ha confirmado su uso en ataques.
La vinculación con Kazajistán la evalúan los especialistas con una confianza media. Como indicios de posible origen figuran artefactos en ruso, el envío de muestras de malware para análisis desde Kazajistán y el horario de trabajo de los operadores, que corresponde al huso horario UTC+5.
Anteriormente Silent Lynx ya atacó bancos y organismos financieros de Kirguistán mediante documentos falsos sobre bonificaciones. Los expertos también hallaron similitudes con YoroTrooper, pero aún no asocian definitivamente a las agrupaciones. Los nuevos hallazgos muestran cuán diversos se han vuelto los instrumentos de ciberespionaje en Asia Central, pero no permiten identificar de forma inequívoca a los clientes de las operaciones.