Suspected Kazakhstan-linked hackers target governments across former Soviet states
The Record · 15 oct, 15:55
Qué hacer: Actualiza WinRAR a una versión que corrija CVE-2025-8088 si aún no lo has hecho.
Un grupo de ciberespionaje vinculado a Kazajistán, identificado como UAT-6275 por Cisco Talos y TAG-193 por Recorded Future, ha lanzado al menos ocho campañas desde enero de 2025 contra agencias gubernamentales en nueve países de Asia Central y antiguos estados soviéticos. Los atacantes buscan información sobre asuntos diplomáticos, política económica y recursos estratégicos, con especial interés en energía regional y sistemas de agua compartidos. Recientemente han comenzado a explotar vulnerabilidades de software, como CVE-2025-8088 en WinRAR, además de sus técnicas tradicionales de phishing.
El grupo mantiene una actividad sostenida contra instituciones gubernamentales en Rusia, Bielorrusia, Armenia, Uzbekistán, Tayikistán y otros países de la región. Los investigadores han identificado vínculos con Kazajistán con confianza media basándose en material en ruso encontrado en el malware, pruebas de que el software malicioso fue probado desde Kazajistán poco después de su creación, y un patrón de actividad que coincide con la zona horaria del país. El grupo también muestra superposición operativa con YoroTrooper, un actor de amenazas presuntamente basado en Kazajistán que emergió en 2022.
Las técnicas incluyen correos de phishing con documentos maliciosos que simulan correspondencia diplomática, formularios de aviación y propuestas comerciales, a menudo enviados desde cuentas de correo gubernamental legítimas ya comprometidas. El grupo utiliza GitHub para almacenar scripts y archivos maliciosos, permitiendo que sus operaciones se camuflen con actividad legítima. En abril de 2026, fue observado explotando CVE-2025-8088 en WinRAR contra el Ministerio de Relaciones Exteriores de Armenia, marcando la primera vez que el grupo utilizaba una vulnerabilidad de software para entregar malware, lo que sugiere una expansión de sus métodos más allá del correo electrónico y documentos engañosos.
Puntos clave
- Grupo TAG-193/UAT-6275 con vínculos presuntos a Kazajistán, activo desde enero de 2025 con ocho campañas documentadas
- Objetivo: agencias gubernamentales en nueve países de Asia Central y antiguos estados soviéticos (Rusia, Bielorrusia, Armenia, Uzbekistán, Tayikistán, etc.)
- Técnicas: phishing con documentos simulados, uso de GitHub para alojar malware, exploración de CVE-2025-8088 en WinRAR
- Interés estratégico en recursos naturales, energía regional, sistemas de agua compartidos e información diplomática
- Timing de ataques correlaciona con eventos diplomáticos bilaterales (marzo y abril de 2026)