Hackers ligados a Kazajistán espían a gobiernos exsoviéticos
Un grupo de ciberespionaje con presuntos vínculos con Kazajistán ha atacado a organismos gubernamentales de Asia Central y de otras antiguas repúblicas soviéticas. Según una investigación conjunta de Cisco Talos y del Insikt Group de Recorded Future, el grupo buscaba información sobre diplomacia, política económica y recursos estratégicos.
Cisco Talos identifica al grupo como UAT-6275, mientras que Insikt Group lo denomina TAG-193. Ambos equipos afirman que el actor ha llevado a cabo al menos ocho campañas desde enero de 2025.
Nueve países en el punto de mira
Los investigadores detectaron instituciones gubernamentales de nueve países que fueron atacadas o que resultaban de claro interés para el grupo. Entre ellos figuran Rusia, Bielorrusia, Armenia, Uzbekistán y Tayikistán.
El grupo se centró sobre todo en organismos dedicados a asuntos exteriores, desarrollo económico, agricultura y gestión medioambiental. También buscaba información sobre el suministro energético y los recursos hídricos de la región.
"Estas organizaciones guardan información que puede servir de base para negociaciones, planificación económica y decisiones de seguridad regional", señaló Insikt Group. "En toda Asia Central, los sistemas fluviales compartidos y las infraestructuras energéticas y de transporte interconectadas confieren a esa información un valor estratégico especial".
Algunas de las operaciones coincidieron de cerca con acontecimientos diplomáticos. En marzo de 2026, los atacantes fueron a por una entidad gubernamental tayika poco después de unas conversaciones sobre un tratado con Kazajistán. Otra operación alcanzó a una entidad gubernamental bielorrusa antes de una reunión bilateral celebrada en abril.
Según los investigadores, esta coincidencia temporal podría apuntar a un interés por la evolución diplomática. No obstante, añadieron que no revela qué información buscaban los atacantes ni si llegaron a obtenerla.
Los recursos naturales fueron otro de los ejes. Entre los objetivos había un organismo gubernamental armenio responsable de asuntos medioambientales y la iniciativa Smart Forestry de Uzbekistán.
¿Por qué Kazajistán?
Los investigadores concluyeron, con un grado de confianza medio, que el grupo está vinculado a Kazajistán. Se basaron en tres pistas:
- material en ruso hallado en el malware
- indicios de que el software malicioso se probó desde Kazajistán poco después de crearse
- una actividad que, en general, coincidía con el horario laboral de la zona horaria de Kazajistán
Las operaciones también se solapan con campañas de espionaje anteriores atribuidas a YoroTrooper. Este actor, presuntamente afincado en Kazajistán, apareció por primera vez en 2022 y ha atacado sobre todo a gobiernos de Asia Central y de países vecinos.
Phishing, GitHub y una vulnerabilidad de WinRAR
La vía de entrada habitual del grupo es un correo de phishing con un archivo adjunto malicioso. En algunos casos, estos correos procedían de cuentas gubernamentales legítimas que ya habían sido comprometidas, lo que hace mucho más difícil que los destinatarios los detecten. Los señuelos eran documentos de apariencia oficial, como correspondencia diplomática, formularios de aviación y propuestas comerciales.
Los atacantes también alojaron scripts y archivos maliciosos en GitHub, la plataforma de desarrollo de software. Así lograban que su tráfico pasara desapercibido entre la actividad legítima en internet.
En abril de 2026, se observó al grupo explotando la CVE-2025-8088, una vulnerabilidad del programa de compresión de archivos WinRAR. La operación tenía como objetivo probable el Ministerio de Asuntos Exteriores de Armenia. El fallo permitía a los atacantes colocar malware en una carpeta de Windows que ejecuta programas automáticamente cuando el usuario inicia sesión, lo que les daba un punto de apoyo capaz de sobrevivir a un reinicio.
Los investigadores afirmaron que era la primera vez que veían al grupo explotar una vulnerabilidad de software para distribuir malware. A su juicio, demuestra que el actor está yendo más allá de los correos y documentos engañosos.
Prevén que el grupo siga atacando a instituciones diplomáticas y a organismos que gestionan recursos estratégicos en toda la región. "Sus operaciones sostenidas y la adopción de nuevas técnicas de distribución sugieren una inversión continuada para lograr acceso a instituciones que poseen información de interés estratégico", señalaron.
Nuestro análisis
La información sobre ciberespionaje suele centrarse en los grandes actores estatales de Rusia, China, Irán y Corea del Norte. Esta investigación recuerda que también hay actores regionales más pequeños que llevan a cabo sus propias operaciones de inteligencia. Eligen sus objetivos en función de prioridades locales, como el agua, la energía o las negociaciones de tratados, y no de prioridades globales. Los ríos y las redes energéticas que atraviesan varias fronteras hacen que esa información sea valiosa para los vecinos, y la elección de objetivos del grupo así lo refleja.
Los métodos de ataque resultan conocidos. El phishing basado en documentos contra personal de la administración sigue siendo una vía de entrada fiable, como demuestran también campañas recientes como las operaciones MATCHBOIL de UAC-0099 contra Ucrania. Los correos enviados desde cuentas gubernamentales secuestradas son especialmente peligrosos. Comprobar la reputación del remitente sirve de poco cuando el remitente es, de verdad, un ministerio de confianza. Para los defensores, esto sugiere que restringir los tipos de adjuntos de riesgo y vigilar entradas de arranque automático inusuales puede importar más que formar a los usuarios para detectar remitentes sospechosos.
El salto a la explotación de una vulnerabilidad de WinRAR es la novedad a seguir de cerca. Las herramientas de compresión suelen actualizarse con menos regularidad que los navegadores o los sistemas operativos, lo que las convierte en un objetivo atractivo. Las organizaciones de la región deberían comprobar qué versiones de WinRAR se ejecutan en sus sistemas. También conviene estar atentos a si el grupo incorpora más vulnerabilidades en futuras campañas y a si nuevas investigaciones refuerzan la atribución a Kazajistán, hoy establecida con un grado de confianza medio.