UAT-6275 ведёт кибершпионаж против госорганизаций стран СНГ
Cisco Talos выявила группировку UAT-6275, которую Recorded Future (организация, признанная нежелательной в России в соответствии с решением Генпрокуратуры РФ) отслеживает под именем TAG-193. С июня 2025 года по август 2026 года она занималась кибершпионажем против государственных организаций стран СНГ, собирая разведывательную информацию, в том числе о региональных дипломатических событиях и безопасности ресурсов. Среди целей были Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь.
Цепочки заражения и вредоносные программы
Talos описала четыре основные цепочки заражения. На начальном этапе документы Microsoft Word с макросами загружали и запускали исполняемые файлы второй стадии. В более поздних кампаниях применялись загрузчики, созданные с помощью PS2EXE. Они получали полезные нагрузки с обратной оболочкой и обеспечивали закрепление через запланированные задачи.
В третьей цепочке вредоносные файлы ярлыков запускали PowerShell, загружали скрипты с GitHub и выполняли полезные нагрузки с удалённой оболочкой. Некоторые образцы размещали PickleShell в папке автозагрузки Windows. В апреле 2026 года группировка использовала специально созданный архив RAR, эксплуатировавший уязвимость WinRAR CVE-2025-8088. Архив размещал PickleShell в папке автозагрузки, и вредоносная программа запускалась при следующем входе пользователя в систему.
Восстановленные образцы вредоносных программ включали лёгкие кастомные обратные оболочки Chvost, Laplas и PickleShell. Они обеспечивали интерактивное выполнение команд на скомпрометированных системах. Обнаруженные каталоги промежуточного хранения и репозиторий на GitHub раскрыли сборки полезных нагрузок, списки инструментов, изменения инфраструктуры и историю разработки.
Инфраструктура и оценка атрибуции
В инфраструктуре также обнаружили инструменты, совместимые с Linux, и общедоступный эксплойт с подтверждением концепции для уязвимости FortiWeb CVE-2025-25257. По оценке Talos, это может указывать на подготовку к атакам на системы Linux и сетевые устройства, доступные из интернета.
Talos с умеренной уверенностью считает, что злоумышленник связан с Казахстаном. Среди индикаторов исследователи называют артефакты на русском языке, предположительно тестовые отправки вредоносных программ из Казахстана, активность оператора в часы, соответствующие часовому поясу UTC+5, доступ к инфраструктуре и региональные особенности выбора целей. Эта активность пересекается с кампаниями, связанными с YoroTrooper, и другими отслеживаемыми кластерами, однако прямого совпадения инструментов или индикаторов не установлено.
Специалистам по защите рекомендуется отслеживать:
- подозрительный запуск PowerShell;
- загрузку файлов с GitHub и других общедоступных сервисов;
- создание запланированных задач;
- изменения в папке автозагрузки;
- документы с макросами;
- эксплуатацию уязвимостей в необновлённых утилитах для работы с архивами.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
