Hackers met Kazachse banden bespioneren ex-Sovjetoverheden

Een cyberspionagegroep die vermoedelijk banden heeft met Kazachstan, heeft het voorzien op overheidsinstanties in Centraal-Azië en andere voormalige Sovjetstaten. De groep was op zoek naar informatie over diplomatie, economisch beleid en strategische hulpbronnen, blijkt uit gezamenlijk onderzoek van Cisco Talos en de Insikt Group van Recorded Future.

Cisco Talos volgt de groep onder de naam UAT-6275, terwijl Insikt Group haar TAG-193 noemt. Volgens beide teams heeft de actor sinds januari 2025 minstens acht campagnes uitgevoerd.

Negen landen in het vizier

De onderzoekers troffen overheidsinstellingen in negen landen aan die doelwit waren of duidelijk in de belangstelling van de groep stonden. Daaronder vallen Rusland, Wit-Rusland, Armenië, Oezbekistan en Tadzjikistan.

De groep richtte zich vooral op instanties die zich bezighouden met buitenlandse zaken, economische ontwikkeling, landbouw en milieubeheer. Ook zocht ze naar informatie over de regionale energievoorziening en watervoorraden.

"Deze organisaties beschikken over informatie die van invloed kan zijn op onderhandelingen, economische planning en beslissingen over regionale veiligheid", aldus de Insikt Group. "In heel Centraal-Azië geven gedeelde riviersystemen en onderling verbonden energie- en transportinfrastructuur zulke informatie een bijzondere strategische waarde."

Sommige operaties volgden diplomatieke gebeurtenissen op de voet. In maart 2026 vielen de hackers een Tadzjiekse overheidsinstantie aan, kort na verdragsbesprekingen met Kazachstan. Bij een andere operatie werd een Wit-Russische overheidsinstantie getroffen in aanloop naar een bilaterale ontmoeting in april.

Volgens de onderzoekers kan die timing wijzen op belangstelling voor diplomatieke ontwikkelingen. Ze voegden eraan toe dat daaruit niet blijkt welke informatie de aanvallers zochten, of dat ze die ook hebben bemachtigd.

Natuurlijke hulpbronnen vormden een ander terugkerend thema. Tot de doelwitten behoorden een Armeense overheidsinstantie die verantwoordelijk is voor milieuzaken en het Oezbeekse Smart Forestry-initiatief.

Waarom Kazachstan?

De onderzoekers stelden met gemiddelde zekerheid vast dat de groep banden heeft met Kazachstan. Ze baseerden dat op drie aanwijzingen:

• Russischtalig materiaal dat in de malware werd aangetroffen
• aanwijzingen dat de kwaadaardige software kort na het bouwen vanuit Kazachstan werd getest
• activiteit die over het algemeen samenviel met de werkuren in de tijdzone van Kazachstan

De operaties overlappen bovendien met eerdere spionagecampagnes die aan YoroTrooper worden toegeschreven. Die vermoedelijk in Kazachstan gevestigde dreigingsactor dook voor het eerst op in 2022 en richtte zich vooral op overheden in Centraal-Azië en omringende landen.

Phishing, GitHub en een lek in WinRAR

De groep komt doorgaans binnen via een phishingmail met een kwaadaardige bijlage. In sommige gevallen werden die mails verstuurd vanaf legitieme overheidsaccounts die al eerder waren gekaapt, waardoor ontvangers ze veel moeilijker herkennen. Als lokaas dienden officieel ogende documenten, zoals diplomatieke correspondentie, luchtvaartformulieren en zakelijke voorstellen.

Daarnaast plaatsten de aanvallers kwaadaardige scripts en bestanden op GitHub, het platform voor softwareontwikkeling. Zo viel hun verkeer weg tussen legitieme online activiteit.

In april 2026 werd de groep betrapt op het misbruiken van CVE-2025-8088, een kwetsbaarheid in het compressieprogramma WinRAR. Die operatie was waarschijnlijk gericht op het Armeense ministerie van Buitenlandse Zaken. Via het lek konden de aanvallers malware plaatsen in een Windows-map die automatisch programma's start zodra een gebruiker zich aanmeldt. Daarmee kregen ze een voet aan de grond die ook een herstart overleeft.

Volgens de onderzoekers was dit de eerste keer dat ze zagen dat de groep een softwarekwetsbaarheid misbruikte om malware af te leveren. In hun ogen laat dat zien dat de actor verder gaat dan misleidende e-mails en documenten.

Ze verwachten dat de groep diplomatieke instellingen en instanties die strategische hulpbronnen beheren in de regio blijft aanvallen. "De aanhoudende operaties en de inzet van extra afleveringstechnieken wijzen op een blijvende investering in het verkrijgen van toegang tot instellingen die over informatie van strategisch belang beschikken", aldus de onderzoekers.

Onze analyse

Berichtgeving over cyberspionage draait meestal om grote statelijke actoren uit Rusland, China, Iran en Noord-Korea. Dit onderzoek herinnert eraan dat kleinere regionale spelers hun eigen inlichtingenoperaties uitvoeren. Zij kiezen hun doelwitten op basis van lokale prioriteiten, zoals water, energie en verdragsonderhandelingen, en niet op basis van mondiale. Rivieren en energienetwerken die meerdere grenzen overschrijden, maken die informatie waardevol voor buurlanden, en de doelwitkeuze van de groep weerspiegelt dat.

De aanvalsmethoden zijn bekend terrein. Phishing met documenten gericht op overheidspersoneel blijft een betrouwbare manier om binnen te komen, zoals ook recente campagnes als de MATCHBOIL-operaties van UAC-0099 tegen Oekraïne laten zien. Mails die vanaf gekaapte overheidsaccounts worden verstuurd, zijn bijzonder gevaarlijk. Controles op de reputatie van de afzender bieden weinig bescherming als de afzender werkelijk een vertrouwd ministerie is. Voor verdedigers betekent dit dat het beperken van riskante bijlagetypen en het controleren op ongebruikelijke autostartvermeldingen wellicht belangrijker zijn dan gebruikers trainen om verdachte afzenders te herkennen.

De overstap naar het misbruiken van een lek in WinRAR is de ontwikkeling om in de gaten te houden. Archiveringstools worden vaak minder consequent bijgewerkt dan browsers of besturingssystemen en zijn daardoor een aantrekkelijk doelwit. Organisaties in de regio doen er goed aan na te gaan welke WinRAR-versies er op hun systemen draaien. Het is ook de moeite waard om te volgen of de groep in toekomstige campagnes meer kwetsbaarheden gaat inzetten, en of verder onderzoek de toeschrijving aan Kazachstan, die nu met gemiddelde zekerheid is gedaan, kan onderbouwen.