Kasachstan-nahe Hacker spionieren Ex-Sowjetstaaten aus

Eine Cyberspionage-Gruppe, die mutmaßlich Verbindungen nach Kasachstan hat, hat es auf Regierungsbehörden in Zentralasien und anderen ehemaligen Sowjetstaaten abgesehen. Die Gruppe suchte nach Informationen zu Diplomatie, Wirtschaftspolitik und strategischen Ressourcen. Das geht aus einer gemeinsamen Untersuchung von Cisco Talos und der Insikt Group von Recorded Future hervor.

Cisco Talos führt die Gruppe unter der Bezeichnung UAT-6275, bei der Insikt Group heißt sie TAG-193. Nach Angaben der beiden Teams hat der Akteur seit Januar 2025 mindestens acht Kampagnen durchgeführt.

Neun Länder im Visier

Die Forscher stießen auf Regierungseinrichtungen in neun Ländern, die entweder angegriffen wurden oder erkennbar im Interesse der Gruppe standen. Dazu gehören Russland, Belarus, Armenien, Usbekistan und Tadschikistan.

Im Mittelpunkt standen vor allem Behörden, die für Außenpolitik, wirtschaftliche Entwicklung, Landwirtschaft und Umweltmanagement zuständig sind. Außerdem war die Gruppe an Informationen über die regionale Energieversorgung und Wasserressourcen interessiert.

"Diese Organisationen verfügen über Informationen, die in Verhandlungen, die Wirtschaftsplanung und regionale Sicherheitsentscheidungen einfließen können", erklärte die Insikt Group. "In ganz Zentralasien verleihen gemeinsam genutzte Flusssysteme sowie miteinander verbundene Energie- und Verkehrsinfrastrukturen solchen Informationen einen besonderen strategischen Wert."

Einige der Operationen folgten eng auf diplomatische Ereignisse. Im März 2026 nahmen die Hacker eine tadschikische Regierungsstelle ins Visier, kurz nachdem Gespräche über ein Abkommen mit Kasachstan stattgefunden hatten. Eine weitere Operation traf eine belarussische Regierungsstelle im Vorfeld eines bilateralen Treffens im April.

Laut den Forschern könnte dieser zeitliche Zusammenhang auf ein Interesse an diplomatischen Entwicklungen hindeuten. Er zeige allerdings nicht, hinter welchen Informationen die Angreifer her waren oder ob sie diese auch erbeutet haben.

Ein weiteres Thema waren natürliche Ressourcen. Zu den Zielen gehörten eine armenische Regierungsbehörde, die für Umweltangelegenheiten zuständig ist, sowie die usbekische Initiative Smart Forestry.

Warum Kasachstan?

Die Forscher gehen mit mittlerer Sicherheit davon aus, dass die Gruppe mit Kasachstan in Verbindung steht. Sie stützen sich dabei auf drei Hinweise:

• russischsprachiges Material, das in der Schadsoftware gefunden wurde
• Anzeichen dafür, dass die Schadsoftware kurz nach ihrer Erstellung von Kasachstan aus getestet wurde
• Aktivitäten, die im Großen und Ganzen den Arbeitszeiten in der kasachischen Zeitzone entsprachen

Die Operationen überschneiden sich zudem mit früheren Spionagekampagnen, die YoroTrooper zugeschrieben werden. Dieser mutmaßlich in Kasachstan ansässige Bedrohungsakteur tauchte erstmals 2022 auf und hat es vor allem auf Regierungen in Zentralasien und den Nachbarländern abgesehen.

Phishing, GitHub und eine WinRAR-Lücke

Der übliche Einstiegspunkt der Gruppe ist eine Phishing-Mail mit bösartigem Anhang. In einigen Fällen stammten diese E-Mails von echten Regierungskonten, die bereits kompromittiert waren. Für die Empfänger sind sie dadurch deutlich schwerer zu erkennen. Als Köder dienten offiziell wirkende Dokumente wie diplomatische Korrespondenz, Formulare aus der Luftfahrt und Geschäftsangebote.

Die Angreifer legten außerdem bösartige Skripte und Dateien auf GitHub ab, der Plattform für Softwareentwicklung. So ging ihr Datenverkehr im legitimen Online-Betrieb unter.

Im April 2026 wurde beobachtet, wie die Gruppe CVE-2025-8088 ausnutzte, eine Schwachstelle im Packprogramm WinRAR. Die Operation richtete sich vermutlich gegen das armenische Außenministerium. Über die Lücke konnten die Angreifer Schadsoftware in einem Windows-Ordner ablegen, aus dem Programme bei der Anmeldung eines Nutzers automatisch gestartet werden. Damit verschafften sie sich einen Zugang, der auch einen Neustart übersteht.

Nach Angaben der Forscher war es das erste Mal, dass sie beobachteten, wie die Gruppe eine Software-Schwachstelle ausnutzte, um Schadsoftware einzuschleusen. Aus ihrer Sicht zeigt das, dass der Akteur über täuschend echte E-Mails und Dokumente hinaus sein Repertoire erweitert.

Sie gehen davon aus, dass die Gruppe weiterhin diplomatische Einrichtungen und Behörden ins Visier nehmen wird, die in der Region strategische Ressourcen verwalten. "Die anhaltenden Operationen und die Übernahme zusätzlicher Verbreitungstechniken deuten darauf hin, dass weiter gezielt investiert wird, um Zugang zu Institutionen zu erlangen, die über Informationen von strategischem Interesse verfügen", so die Forscher.

Unsere Einschätzung

Berichte über Cyberspionage drehen sich meist um große staatliche Akteure aus Russland, China, Iran und Nordkorea. Diese Untersuchung ruft in Erinnerung, dass auch kleinere regionale Akteure ihre eigenen Geheimdienstoperationen betreiben. Sie wählen ihre Ziele nach lokalen Prioritäten aus, etwa Wasser, Energie und Vertragsverhandlungen, und nicht nach globalen. Flüsse und Energienetze, die mehrere Grenzen überqueren, machen diese Informationen für Nachbarn wertvoll, und genau das spiegelt sich in der Zielauswahl der Gruppe wider.

Die Angriffsmethoden sind altbekannt. Phishing mit präparierten Dokumenten gegen Regierungsmitarbeiter bleibt ein zuverlässiger Weg ins Netz, wie auch aktuelle Kampagnen wie die MATCHBOIL-Operationen von UAC-0099 gegen die Ukraine zeigen. Besonders gefährlich sind E-Mails, die von gekaperten Regierungskonten verschickt werden. Prüfungen der Absenderreputation bieten wenig Schutz, wenn der Absender tatsächlich ein vertrauenswürdiges Ministerium ist. Für Verteidiger heißt das: Riskante Anhangstypen einzuschränken und auf ungewöhnliche Autostart-Einträge zu prüfen, könnte wichtiger sein, als Nutzer darin zu schulen, verdächtige Absender zu erkennen.

Der Schritt hin zum Ausnutzen einer WinRAR-Lücke ist die Entwicklung, die man im Auge behalten sollte. Packprogramme werden oft weniger zuverlässig aktualisiert als Browser oder Betriebssysteme und sind deshalb ein lohnendes Ziel. Organisationen in der Region sollten prüfen, welche WinRAR-Versionen auf ihren Systemen laufen. Spannend ist außerdem, ob die Gruppe in künftigen Kampagnen weitere Schwachstellen ausnutzt und ob weitere Untersuchungen die mit mittlerer Sicherheit getroffene Zuordnung zu Kasachstan untermauern.