Des pirates liés au Kazakhstan espionnent l'ex-URSS

Un groupe de cyberespionnage soupçonné d'avoir des liens avec le Kazakhstan s'en prend à des administrations d'Asie centrale et d'autres anciennes républiques soviétiques. Il cherchait des informations sur la diplomatie, la politique économique et les ressources stratégiques, selon une étude conjointe de Cisco Talos et de l'Insikt Group de Recorded Future.

Cisco Talos suit ce groupe sous le nom d'UAT-6275, tandis qu'Insikt Group le désigne comme TAG-193. Selon les deux équipes, l'acteur a mené au moins huit campagnes depuis janvier 2025.

Neuf pays dans le viseur

Les chercheurs ont identifié des institutions gouvernementales dans neuf pays, qui ont été soit ciblées, soit manifestement dans le collimateur du groupe. Parmi eux figurent la Russie, la Biélorussie, l'Arménie, l'Ouzbékistan et le Tadjikistan.

Le groupe visait surtout les organismes chargés des affaires étrangères, du développement économique, de l'agriculture et de la gestion de l'environnement. Il cherchait aussi des informations sur l'approvisionnement énergétique régional et les ressources en eau.

"Ces organisations détiennent des informations susceptibles d'orienter des négociations, la planification économique et des décisions en matière de sécurité régionale", explique l'Insikt Group. "Dans toute l'Asie centrale, les bassins fluviaux partagés et les infrastructures énergétiques et de transport interconnectées donnent à ce type d'informations une valeur stratégique particulière."

Certaines opérations ont suivi de près l'actualité diplomatique. En mars 2026, les pirates ont visé une entité gouvernementale tadjike peu après des discussions sur un traité avec le Kazakhstan. Une autre opération a touché une entité gouvernementale biélorusse avant une rencontre bilatérale en avril.

Selon les chercheurs, ce calendrier pourrait traduire un intérêt pour les évolutions diplomatiques. Ils précisent toutefois qu'il ne permet pas de savoir quelles informations les attaquants recherchaient, ni s'ils les ont obtenues.

Les ressources naturelles constituaient un autre axe. Parmi les cibles figuraient une agence gouvernementale arménienne chargée des questions environnementales et l'initiative Smart Forestry de l'Ouzbékistan.

Pourquoi le Kazakhstan ?

Les chercheurs estiment avec un degré de confiance moyen que le groupe est lié au Kazakhstan. Ils s'appuient sur trois indices :

• des éléments en langue russe retrouvés dans le logiciel malveillant
• des signes indiquant que le logiciel malveillant a été testé depuis le Kazakhstan peu après sa création
• une activité correspondant globalement aux heures de bureau du fuseau horaire kazakh

Les opérations recoupent aussi d'anciennes campagnes d'espionnage attribuées à YoroTrooper. Cet acteur, soupçonné d'être basé au Kazakhstan, est apparu pour la première fois en 2022 et a surtout ciblé des gouvernements d'Asie centrale et des pays voisins.

Hameçonnage, GitHub et une faille WinRAR

Le groupe s'introduit généralement par un courriel d'hameçonnage contenant une pièce jointe malveillante. Dans certains cas, ces messages provenaient de comptes gouvernementaux légitimes déjà compromis, ce qui les rend bien plus difficiles à repérer pour leurs destinataires. Les leurres prenaient la forme de documents d'apparence officielle, comme de la correspondance diplomatique, des formulaires aéronautiques ou des propositions commerciales.

Les attaquants hébergeaient également des scripts et des fichiers malveillants sur GitHub, la plateforme de développement logiciel. Leur trafic pouvait ainsi se fondre dans l'activité légitime en ligne.

En avril 2026, le groupe a été observé en train d'exploiter CVE-2025-8088, une vulnérabilité du logiciel de compression WinRAR. L'opération visait probablement le ministère arménien des Affaires étrangères. La faille permettait aux attaquants de déposer un logiciel malveillant dans un dossier Windows qui lance automatiquement des programmes à l'ouverture de session, ce qui leur assurait un point d'ancrage capable de survivre à un redémarrage.

D'après les chercheurs, c'est la première fois qu'ils observent le groupe exploiter une vulnérabilité logicielle pour diffuser un logiciel malveillant. Selon eux, cela montre que l'acteur ne se limite plus aux courriels et documents trompeurs.

Ils s'attendent à ce que le groupe continue de viser les institutions diplomatiques et les organismes qui gèrent des ressources stratégiques dans la région. "Ses opérations soutenues et l'adoption de nouvelles techniques de diffusion laissent penser qu'il continue d'investir pour accéder à des institutions détenant des informations d'intérêt stratégique", indiquent-ils.

Notre analyse

Les articles sur le cyberespionnage se concentrent souvent sur les grands acteurs étatiques venus de Russie, de Chine, d'Iran et de Corée du Nord. Cette étude rappelle que des acteurs régionaux plus modestes mènent leurs propres opérations de renseignement. Ils choisissent leurs cibles en fonction de priorités locales, comme l'eau, l'énergie et les négociations de traités, plutôt que d'enjeux mondiaux. Les fleuves et les réseaux énergétiques qui traversent plusieurs frontières donnent de la valeur à ces informations aux yeux des voisins, et le choix des cibles du groupe le reflète.

Les méthodes d'attaque, elles, sont connues. L'hameçonnage par documents visant des fonctionnaires reste un moyen d'entrée fiable, comme le montrent aussi des campagnes récentes telles que les opérations MATCHBOIL d'UAC-0099 contre l'Ukraine. Les courriels envoyés depuis des comptes gouvernementaux piratés sont particulièrement dangereux. Vérifier la réputation de l'expéditeur ne protège guère quand celui-ci est réellement un ministère de confiance. Pour les défenseurs, cela suggère que restreindre les types de pièces jointes à risque et surveiller les entrées de démarrage automatique inhabituelles pourrait compter davantage que d'apprendre aux utilisateurs à repérer les expéditeurs suspects.

Le passage à l'exploitation d'une faille WinRAR est l'évolution à surveiller. Les outils d'archivage sont souvent mis à jour moins rigoureusement que les navigateurs ou les systèmes d'exploitation, ce qui en fait une cible attrayante. Les organisations de la région devraient vérifier quelles versions de WinRAR tournent sur leurs systèmes. Il faudra aussi voir si le groupe exploite d'autres vulnérabilités lors de prochaines campagnes, et si de nouvelles recherches viennent conforter l'attribution au Kazakhstan, pour l'heure établie avec un degré de confiance moyen.