Хакеры, связанные с Казахстаном, атакуют правительства стран бывшего СССР ради дипломатических секретов

Специалисты Cisco Talos и Insikt Group (Recorded Future) раскрыли кибершпионскую группировку UAT-6275 (также TAG-193), которую с умеренной уверенностью связывают с Казахстаном. С января 2025 года она провела не менее восьми целевых кампаний против государственных структур в девяти странах, включая Россию, Беларусь, Армению, Узбекистан и Таджикистан. Нападавших интересуют ведомства, отвечающие за иностранные дела, экономическое развитие, сельское хозяйство и охрану окружающей среды, а также данные о региональных энергопоставках и водных ресурсах.

По оценке Insikt Group, такая информация помогает в переговорах, экономическом планировании и принятии решений о безопасности — особенно в Центральной Азии, где общие речные системы и связанная инфраструктура придают ей стратегическую ценность. О возможной казахстанской принадлежности говорят несколько косвенных улик: русскоязычные фрагменты в вредоносном коде, тестирование программ из Казахстана вскоре после их создания и активность, совпадающая с рабочими часами в этом часовом поясе. Операции группировки также пересекаются с кампаниями YoroTrooper — хакера, действующего с 2022 года и нацеленного на правительства Центральной Азии и соседних государств.

В одной из последних атак TAG-193 атаковала таджикское госучреждение вскоре после обсуждения договора с Казахстаном в марте 2026 года. Другая операция была направлена против белорусского ведомства накануне двусторонней встречи в апреле. Исследователи отмечают, что такая синхронизация может указывать на интерес к дипломатическим процессам, хотя и не доказывает, какие именно сведения искали злоумышленники и удалось ли им их получить.

Группировка также проявляла внимание к управлению природными ресурсами: среди целей оказались армянское агентство по охране окружающей среды и узбекская инициатива «Умное лесничество» (Smart Forestry). Основной способ проникновения — фишинговые письма с вредоносными вложениями, которые нередко рассылаются с уже взломанных легитимных правительственных аккаунтов. В письмах используются документы, имитирующие дипломатическую переписку, авиационные формуляры и деловые предложения.

Для хранения вредоносных скриптов и файлов хакеры использовали GitHub, что помогало им маскировать свою активность под обычную работу разработчиков. В апреле 2026 года специалисты зафиксировали первый случай эксплуатации группировкой программной уязвимости: через дыру в архиваторе WinRAR (CVE-2025-8088) атакующие разместили вредоносный код в папке автозагрузки Windows. Целью, предположительно, было Министерство иностранных дел Армении.

Это расширяет арсенал хакеров за пределы привычных фишинговых писем. Использование скомпрометированных почтовых ящиков и легитимных платформ вроде GitHub серьёзно затрудняет обнаружение атак. Организациям, работающим с чувствительной информацией, стоит регулярно пересматривать политики безопасности и проводить тренинги по распознаванию фишинга.

Аналитики ожидают, что группировка продолжит атаковать дипломатические учреждения и ведомства, управляющие стратегическими ресурсами, по всему региону. Устойчивый характер операций и освоение новых техник доставки говорят о долгосрочных вложениях в получение доступа к информации, представляющей стратегический интерес.