Группировка UAT-6275 с казахстанским следом атакует госорганизации СНГ

Группировка UAT-6275 атакует госорганизации СНГ

Cisco Talos выявила активность группировки UAT-6275, нацеленную на государственные организации стран Содружества Независимых Государств (СНГ). Исследователи обнаружили, что группировка проявляет интерес к водным ресурсам и энергетике. Такая специализация соответствует сбору разведывательной информации и может отражать региональные последствия российско-украинского конфликта. В период с июня 2025 по август 2026 года Talos зафиксировала четыре типа цепочек заражения. Они использовали документы с макросами, загрузчики PS2EXE, PowerShell из репозиториев GitHub и архив WinRAR с эксплойтом CVE-2025-8088. Обнаруженные полезные нагрузки включали кастомные реверсивные оболочки для удаленного доступа. Три общедоступных директории и история репозитория GitHub раскрыли информацию о сборках вредоносного ПО, инструментах и изменениях инфраструктуры управления. Эти упущения в операционной безопасности позволили получить прямое представление о недавней деятельности группы. Файлы, извлеченные из раскрытой инфраструктуры, указывают на подготовку к посткомпромиссным операциям и потенциальную активность против Linux-систем и сетевых устройств.

Атака использует документы с макросами, PowerShell и эксплойт WinRAR

Группировка UAT-6275 применяет четыре типа цепочек заражения для доставки вредоносного ПО. Цепочка A, обнаруженная в июне 2025 года, использовала документы Word с макросами для загрузки и выполнения бинарного файла второго этапа. В июле 2025 года были замечены загрузчики цепочки B, созданные с помощью PS2EXE. Эти загрузчики извлекали реверсивные оболочки и создавали запланированные задачи для обеспечения персистентности. Цепочка C, впервые выявленная в октябре 2025 года, запускала PowerShell через вредоносный ярлык. Скрипт, размещенный на GitHub, предоставлял удаленный доступ через командную оболочку. Более поздние образцы также устанавливали PickleShell в папку автозагрузки Windows. В апреле 2026 года был обнаружен архив RAR, эксплуатирующий уязвимость CVE-2025-8088 в WinRAR. Эксплойт позволял разместить PickleShell в папке автозагрузки для выполнения при следующем входе пользователя в систему. Это был первый случай использования эксплойта уязвимости для доставки вредоносного ПО группировкой UAT-6275. Группа также использует реверсивные оболочки Chvost, Laplas и PickleShell для выполнения команд на скомпрометированных системах. Обнаружены инструменты для Linux и эксплойт для FortiWeb CVE-2025-25257, что указывает на расширение операционных возможностей.

Атака нацелена на девять стран СНГ и включает энергетический сектор

Целевыми объектами UAT-6275 являются государственные учреждения девяти стран: Казахстана, Кыргызстана, Таджикистана, Туркменистана, Узбекистана, Армении, Азербайджана, России и Беларуси. Группировка атакует министерства, ответственные за дипломатию, экономическое развитие, сельское хозяйство и управление окружающей средой. Анализ сетевого трафика выявил активность, связанную с таджикским государственным учреждением после переговоров с Казахстаном в марте 2026 года. Также зафиксирована активность в отношении белорусского государственного органа перед двусторонней встречей в апреле. Это может указывать на интерес к региональным дипломатическим событиям. Приманки включали дипломатическое письмо в МИД Армении и предложение о сотрудничестве между туркменской компанией Turkmenneft и российским Орским НПЗ. Последний НПЗ поставлял продукцию в Казахстан и был остановлен в августе 2026 года после украинской атаки. Это может свидетельствовать об интересе к региональным поставкам топлива и влиянию конфликта на энергетическую безопасность Казахстана. Cisco Talos оценивает с средней уверенностью, что UAT-6275 имеет казахстанский след, основываясь на доступе к инфраструктуре, языковых артефактах, региональной нацеленности и анализе рабочего времени операторов (UTC+5).

Обновите WinRAR и отслеживайте активность PowerShell

Защитникам в государственном секторе следует отслеживать подозрительную активность PowerShell и загрузки полезных нагрузок из общедоступных сервисов, таких как GitHub. Необходимо контролировать создание запланированных задач и изменения в папке автозагрузки. Своевременное обновление архиваторов, включая WinRAR, снизит риск эксплуатации уязвимостей для доставки вредоносного ПО. ClamAV предлагает сигнатуры Win.Backdoor.PickleShell-10060602-0, Win.Backdoor.Chvost-10060603-0, Win.Malware.Generic-10060604-0, Win.Malware.LAPLAS-10060605-0, Win.Malware.LAPLAS-10060606-0 и Win.Proxy.Generic-10060628-0. Правила Snort 2: 1:11192, 1:15306, 1:46983, 1:47398. Правила Snort 3: 1:46983, 4:16.