Хакеры, предположительно действующие с территории Казахстана, атаковали российский нефтеперерабатывающий завод и получили доступ к компьютерной сети органов местного самоуправления в России, передает inbusiness.kz со ссылкой на Reuters.
В совместном отчете Чи-Энь Шен из Cisco и Джулиан-Фердинанд Фогеле из компании Recorded Future, специализирующейся на кибербезопасности, говорится, что хакерская группировка Silent Lynx, вероятно, находится в Казахстане.
При этом исследователи отмечают, что группировка действует не только против российских организаций. Ее предыдущими целями становились государственные структуры в Центральной Азии.
Один из основных методов Silent Lynx - целевой фишинг. Хакеры отправляют электронные письма с вложениями, которые выглядят как важные документы. Если получатель открывает такой файл, на его устройстве может установиться вредоносная программа.
"Это напоминание о том, что в сфере кибершпионажа участвуют не только несколько ведущих кибердержав. Другие страны тоже постепенно наращивают свой потенциал", - отметил Олег Шакиров, аспирант Школы перспективных международных исследований Университета Джонса Хопкинса, изучающий киберполитику и конфликты.
По данным исследователей, одной из целей Silent Lynx стал Орский нефтеперерабатывающий завод на юге России. В августе предприятие приостановило работу на несколько месяцев после удара украинского беспилотника. Кроме того, хакеры, как утверждается в отчете, получили доступ к сети органов власти Нижнего Новгорода. Город находится примерно в 425 километрах к востоку от Москвы.
Орский НПЗ, который называется "Орскнефтеоргсинтез", расположен всего в 25 километрах от казахстанской границы. После неоднократных остановок завода из-за атак украинских беспилотников российское правительство было вынуждено обратиться к Казахстану с просьбой задействовать мощности его нефтеперерабатывающих предприятий.
Представители Орского НПЗ и администрации Нижнего Новгорода не ответили на запросы о комментариях. Связаться с предполагаемыми участниками группировки также не удалось.
Исследователи приводят несколько аргументов в пользу возможной связи Silent Lynx с Казахстаном. В частности, они обнаружили, что хакеры тестировали вредоносные программы с территории страны вскоре после того, как был скомпилирован их код. Кроме того, время активности группировки совпадало с обычным рабочим графиком в Казахстане.
По мнению авторов отчета, на возможную связь указывает и выбор целей, который, как они считают, мог соответствовать стратегическим интересам страны.
Так, исследователи обнаружили признаки взлома государственного учреждения в Таджикистане примерно в тот период, когда Казахстан в начале 2026 года ратифицировал договор с этой страной. Еще один эпизод связан с Беларусью: государственное ведомство этой страны оказалось скомпрометировано незадолго до встречи белорусских и казахстанских дипломатов в апреле.
По информации портала Virus Bulletin, Silent Lynx проводит целевые кибератаки как минимум с 2024 года. Среди ее предполагаемых целей - государственные ведомства, дипломатические представительства и организации гражданского общества в Центральной Азии. Группировка уделяет особое внимание крупным государственным структурам в странах СНГ.
Чтобы повысить шансы на успешную атаку, хакеры используют не только поддельные письма с вложениями, но и скомпрометированные государственные адреса электронной почты. Это позволяет сделать сообщения более убедительными для получателей. Вредоносные программы также размещаются на легитимных открытых платформах, в том числе на GitHub.
В техническом отчете Virus Bulletin подробно разбираются операции Silent Lynx и изменения в ее инфраструктуре с конца 2024 года по 2026 год. Исследователи обнаружили новые элементы, связанные с ранее неизвестными кампаниями: открытые каталоги, новые домены динамической системы доменных имен (DDNS) и репозиторий на GitHub, созданный с использованием подставной учетной записи, которую контролировали операторы группировки.
Эти находки помогают понять, как хакеры готовят атаки, распространяют вредоносные программы и разрабатывают инструменты. Исследователи также изучили инфраструктуру управления, с помощью которой группировка координирует операции и сохраняет контроль над своими системами.
По оценке экспертов, группировка постоянно меняет методы работы, чтобы оставаться незамеченной и поддерживать свои операции.
Кроме того, в материалах группировки нашли новые технические приемы и артефакты на разных языках. Они могут дать дополнительные сведения об уровне подготовки хакеров и их возможном происхождении, однако сами по себе не позволяют однозначно установить, кто именно стоит за атаками.
Читайте по теме:
В соседней с Казахстаном области ввели ограничения на продажу топлива из-за атаки БПЛА
