Forwarded from CSIRT Central Asia
🇰🇿 UAT-6275 / Silent Lynx: кибершпионаж против госорганов Центральной Азии
Cisco Talos вместе с Recorded Future (у них группа идёт как TAG-193) опубликовали разбор группировки UAT-6275. Её интерес сосредоточен на ЦА и СНГ, и, по оценке исследователей, группа сама, скорее всего, связана с Казахстаном (уверенность средняя). На это указывают русскоязычные артефакты, тестовые загрузки малвари из KZ сразу после компиляции и коммиты на GitHub, которые ложатся в рабочие часы по UTC+5.
🎯 Кого атакуют. В выборке 9 стран: Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Цели — МИДы, министерства экономики, сельского хозяйства и экологии, а также водные ресурсы и энергетика.
• Активность в госорганизации Таджикистана зафиксировали сразу после переговоров по договору с Казахстаном в марте 2026 года.
• Атакован проект Smart Forestry в Узбекистане.
• В качестве приманки использовали письмо о сотрудничестве «Туркменнебит» с Орским НПЗ. Этот завод поставляет нефтепродукты в Казахстан.
• Среди приманок есть темы саммита «Китай — Центральная Азия».
🛠 Как заходят (июнь 2025 — 2026):
• A: Word-документы с макросами.
• B: загрузчики, собранные через PS2EXE, с закреплением через планировщик задач.
• C: ярлык LNK запускает PowerShell-скрипт, который лежит на GitHub.
• D: архив RAR с эксплойтом WinRAR CVE-2025-8088, который кладёт PickleShell в автозагрузку.
В качестве нагрузки идут лёгкие реверс-шеллы Chvost, Laplas и PickleShell. На инфраструктуре группы нашли инструменты под Linux и PoC для FortiWeb CVE-2025-25257, так что следующими целями могут стать периметровые устройства.
😅 Где прокололись. Три открытые staging-директории и репозиторий на GitHub с историей коммитов позволили увидеть, как группа разрабатывает малварь и меняет C2.
🧩 Группа пересекается с Silent Lynx, YoroTrooper, Tomiris, ShadowSilk и Cavalry Werewolf, то есть это один большой региональный кластер.
🛡 Что делать защитникам в ЦА:
• Обновить WinRAR.
• Отслеживать PowerShell, который скачивает что-то с GitHub и других публичных сервисов.
• Следить за новыми scheduled tasks и изменениями в папке Startup.
• Проверить и пропатчить FortiWeb.
• Подтянуть IOC из репозитория Talos.
🔗 https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/
#APT #CentralAsia #Kazakhstan #SilentLynx #ThreatIntel
Cisco Talos вместе с Recorded Future (у них группа идёт как TAG-193) опубликовали разбор группировки UAT-6275. Её интерес сосредоточен на ЦА и СНГ, и, по оценке исследователей, группа сама, скорее всего, связана с Казахстаном (уверенность средняя). На это указывают русскоязычные артефакты, тестовые загрузки малвари из KZ сразу после компиляции и коммиты на GitHub, которые ложатся в рабочие часы по UTC+5.
🎯 Кого атакуют. В выборке 9 стран: Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Цели — МИДы, министерства экономики, сельского хозяйства и экологии, а также водные ресурсы и энергетика.
• Активность в госорганизации Таджикистана зафиксировали сразу после переговоров по договору с Казахстаном в марте 2026 года.
• Атакован проект Smart Forestry в Узбекистане.
• В качестве приманки использовали письмо о сотрудничестве «Туркменнебит» с Орским НПЗ. Этот завод поставляет нефтепродукты в Казахстан.
• Среди приманок есть темы саммита «Китай — Центральная Азия».
🛠 Как заходят (июнь 2025 — 2026):
• A: Word-документы с макросами.
• B: загрузчики, собранные через PS2EXE, с закреплением через планировщик задач.
• C: ярлык LNK запускает PowerShell-скрипт, который лежит на GitHub.
• D: архив RAR с эксплойтом WinRAR CVE-2025-8088, который кладёт PickleShell в автозагрузку.
В качестве нагрузки идут лёгкие реверс-шеллы Chvost, Laplas и PickleShell. На инфраструктуре группы нашли инструменты под Linux и PoC для FortiWeb CVE-2025-25257, так что следующими целями могут стать периметровые устройства.
😅 Где прокололись. Три открытые staging-директории и репозиторий на GitHub с историей коммитов позволили увидеть, как группа разрабатывает малварь и меняет C2.
🧩 Группа пересекается с Silent Lynx, YoroTrooper, Tomiris, ShadowSilk и Cavalry Werewolf, то есть это один большой региональный кластер.
🛡 Что делать защитникам в ЦА:
• Обновить WinRAR.
• Отслеживать PowerShell, который скачивает что-то с GitHub и других публичных сервисов.
• Следить за новыми scheduled tasks и изменениями в папке Startup.
• Проверить и пропатчить FortiWeb.
• Подтянуть IOC из репозитория Talos.
🔗 https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/
#APT #CentralAsia #Kazakhstan #SilentLynx #ThreatIntel
🔥4