🇰🇿 UAT-6275 / Silent Lynx: кибершпионаж против госорганов Центральной Азии

Cisco Talos вместе с Recorded Future (у них группа идёт как TAG-193) опубликовали разбор группировки UAT-6275. Её интерес сосредоточен на ЦА и СНГ, и, по оценке исследователей, группа сама, скорее всего, связана с Казахстаном (уверенность средняя). На это указывают русскоязычные артефакты, тестовые загрузки малвари из KZ сразу после компиляции и коммиты на GitHub, которые ложатся в рабочие часы по UTC+5.

🎯 Кого атакуют. В выборке 9 стран: Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Цели — МИДы, министерства экономики, сельского хозяйства и экологии, а также водные ресурсы и энергетика.
• Активность в госорганизации Таджикистана зафиксировали сразу после переговоров по договору с Казахстаном в марте 2026 года.
• Атакован проект Smart Forestry в Узбекистане.
• В качестве приманки использовали письмо о сотрудничестве «Туркменнебит» с Орским НПЗ. Этот завод поставляет нефтепродукты в Казахстан.
• Среди приманок есть темы саммита «Китай — Центральная Азия».

🛠 Как заходят (июнь 2025 — 2026):
• A: Word-документы с макросами.
• B: загрузчики, собранные через PS2EXE, с закреплением через планировщик задач.
• C: ярлык LNK запускает PowerShell-скрипт, который лежит на GitHub.
• D: архив RAR с эксплойтом WinRAR CVE-2025-8088, который кладёт PickleShell в автозагрузку.
В качестве нагрузки идут лёгкие реверс-шеллы Chvost, Laplas и PickleShell. На инфраструктуре группы нашли инструменты под Linux и PoC для FortiWeb CVE-2025-25257, так что следующими целями могут стать периметровые устройства.

😅 Где прокололись. Три открытые staging-директории и репозиторий на GitHub с историей коммитов позволили увидеть, как группа разрабатывает малварь и меняет C2.

🧩 Группа пересекается с Silent Lynx, YoroTrooper, Tomiris, ShadowSilk и Cavalry Werewolf, то есть это один большой региональный кластер.

🛡 Что делать защитникам в ЦА:
• Обновить WinRAR.
• Отслеживать PowerShell, который скачивает что-то с GitHub и других публичных сервисов.
• Следить за новыми scheduled tasks и изменениями в папке Startup.
• Проверить и пропатчить FortiWeb.
• Подтянуть IOC из репозитория Talos.

🔗 https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/

#APT #CentralAsia #Kazakhstan #SilentLynx #ThreatIntel

Что говорят страны, когда слышат в свой адрес обвинения в кибератаках:

Россия: «Это русофобия!»

Китай: «Главная хакерская империя — это США».

США: «Мы не можем ни подтвердить, ни опровергнуть это».

Казахстан: 🇰🇿🫡