Veille menaces / Campagne
Silent Lynx : un agent d'IA a aidé à espionner des systèmes gouvernementaux tadjiks et ouzbeks
Le 11 novembre 2026, CloudSEK a publié ce qu'il a trouvé sur un serveur exposé d'un opérateur de Silent Lynx : un accès de niveau domaine au réseau des chemins de fer nationaux du Tadjikistan de mi-août au moins jusqu'au 10 octobre, des documents tirés de la plateforme gouvernementale tadjike de gestion électronique des documents, et l'exécution de commandes sur un serveur de l'initiative ouzbèke Smart Forestry. Un agent d'IA open source, Hermes, configuré en spécialiste de la sécurité offensive et utilisant surtout des modèles DeepSeek, s'est chargé de la reconnaissance, de la collecte et de l'effacement des traces. CloudSEK estime avec un niveau de confiance moyen que l'opérateur a un lien avec le Kazakhstan.
- Secteur
- Public et politique
- Point d'entrée
- Pas encore public
- Produit ou fournisseur
- GeoServer
- Comment c'est arrivé
- CloudSEK a trouvé le répertoire ouvert de l'opérateur sur un serveur privé virtuel, accessible sans authentification. Il ne dit pas comment le réseau ferroviaire a d'abord été pénétré. Avec un seul compte compromis d'un employé des chemins de fer, l'opérateur s'est connecté via l'authentification unique du gouvernement à la plateforme tadjike de gestion électronique des documents. En Ouzbékistan, des fichiers WAR malveillants ont été déployés sur un GeoServer, puis un web shell et une connexion superutilisateur PostgreSQL ont donné un shell inversé. Le kit présent sur le serveur contenait aussi des leurres d'hameçonnage : un raccourci avec une icône PDF, dans une archive ou une image ISO, qui ouvre un PDF factice et lance un shell PowerShell caché.[1][2] Vérifié le 12 nov. 2026
- Ce qui a été volé
- Dans le réseau ferroviaire : des extractions d'identifiants Active Directory, dont les comptes Administrator et krbtgt, des documents internes et des identifiants d'équipements du fournisseur d'accès amont. Sur la plateforme documentaire : plus de 2 000 documents uniques adressés au ministère tadjik de la Défense ou transitant par lui, des lots plus petits liés à la Garde nationale et au Comité d'État pour la sécurité nationale, des centaines de courriers du Comité d'État pour l'investissement, des copies de pièces d'identité dont des passeports, et un annuaire de plus de 100 organisations gouvernementales.[1][2] Vérifié le 12 nov. 2026
- Qui est touché
- Les chemins de fer nationaux du Tadjikistan et les administrations dont les documents passaient par sa plateforme de gestion électronique des documents, ainsi qu'un serveur de l'initiative ouzbèke Smart Forestry, où l'opérateur n'a pas obtenu les droits root. Des leurres imitant des documents officiels turkmènes ont été préparés et testés en octobre ; CloudSEK ne dit pas qu'ils aient été utilisés avec succès.[1][2] Vérifié le 12 nov. 2026
- Acteur
- Silent Lynx →
Chronologie
- À partir de la mi-août au moins, l'opérateur dispose d'un accès de niveau domaine au réseau des chemins de fer nationaux du Tadjikistan, selon CloudSEK ; l'accès dure au moins jusqu'au 10 octobre. [1][2]
- En octobre, des leurres imitant un billet des chemins de fer du Turkménistan et un rapport de l'administration régionale d'Ahal sont préparés et testés. Début octobre, l'agent d'IA supprime des messages, efface les historiques de commandes et vide les journaux de connexion, mais oublie le répertoire exposé. [1]
- CloudSEK publie son analyse. Il estime « avec un haut niveau de confiance » que le serveur appartient à un opérateur de Silent Lynx et « avec un niveau de confiance moyen » que l'opérateur a un lien avec le Kazakhstan, en s'appuyant sur des opérations menées en russe et sur le trafic de test de l'opérateur, venu d'une connexion résidentielle kazakhe. L'agent était configuré pour exécuter sans confirmation des commandes comme SQL DROP et piloté en russe via un bot Telegram. [1]
- The Record relaie ces conclusions et précise qu'elles n'établissent aucun lien avec le gouvernement kazakh. [2]