Een cyberspionagegroep met vermoedelijke banden met Kazachstan voert phishingcampagnes uit tegen overheidsinstanties in Centraal-Azië en andere voormalige Sovjetlanden.
Een cyberspionagegroep met vermoedelijke banden met Kazachstan heeft sinds januari 2025 meerdere campagnes uitgevoerd gericht op overheidsinstanties in Centraal-Azië en andere voormalige Sovjetstaten. De aanvallen zijn gericht op het verkrijgen van informatie over diplomatieke aangelegenheden, economische beleidsvoering en strategische hulpbronnen, aldus gezamenlijk onderzoek van Cisco Talos en Recorded Future's Insikt Group.
De hackers, aangeduid als UAT-6275 door Cisco Talos en TAG-193 door Insikt Group, hebben zich gericht op overheidsinstellingen in negen landen, waaronder Rusland, Wit-Rusland, Armenië, Oezbekistan en Tadzjikistan. Vooral ministeries en agentschappen die verantwoordelijk zijn voor buitenlandse zaken, economische ontwikkeling, landbouw en milieubeheer stonden in de belangstelling. Daarnaast toonde de groep interesse in regionale energievoorziening en waterbeheer, informatie die van strategische waarde is voor onderhandelingen en regionale veiligheid.
Onderzoekers schatten met middelmatige zekerheid dat de groep banden heeft met Kazachstan. Dit blijkt onder meer uit Russischtalige elementen in de malware, aanwijzingen dat kwaadaardige software kort na creatie vanuit Kazachstan werd getest en het feit dat de aanvallen meestal plaatsvonden binnen de werktijden van die tijdzone. De activiteiten overlappen met eerdere campagnes van YoroTrooper, een vermoedelijk Kazachs dreigingsactor die sinds 2022 actief is en zich eveneens richt op overheden in Centraal-Azië en omliggende landen.
In recente aanvallen werden onder meer een Tadzjiekse overheidsinstantie aangevallen vlak na verdragsbesprekingen met Kazachstan in maart 2026, en een Wit-Russische instantie voorafgaand aan een bilaterale bijeenkomst in april. Hoewel de timing duidt op interesse in diplomatieke ontwikkelingen, is niet vastgesteld welke informatie werd gezocht of verkregen. Ook toonde de groep belangstelling voor milieubeheer, zoals een Armeense overheidsinstantie en het Oezbeekse Smart Forestry-initiatief.
De hackers gebruiken voornamelijk phishingmails met kwaadaardige bijlagen, soms verzonden vanuit reeds gecompromitteerde legitieme overheidsaccounts. De e-mails bevatten documenten die officieel ogen, zoals diplomatieke correspondentie, luchtvaartformulieren en zakelijke voorstellen. Daarnaast maakten zij gebruik van GitHub om kwaadaardige scripts en bestanden te hosten, waardoor hun activiteiten moeilijker te onderscheiden zijn van legitiem online verkeer.
In april 2026 werd de groep voor het eerst waargenomen bij het misbruiken van een kwetsbaarheid in het compressieprogramma WinRAR (CVE-2025-8088) tijdens een aanval vermoedelijk gericht op het Armeense ministerie van Buitenlandse Zaken. Deze kwetsbaarheid maakte het mogelijk malware te plaatsen in een Windows-map die automatisch programma's uitvoert bij het inloggen van een gebruiker. Dit wijst op een uitbreiding van hun tactieken, naast het gebruik van misleidende e-mails en documenten.
