La campagna di spionaggio UAT-6275, mirata a nazioni della CSI, ha evoluto le sue tattiche sfruttando vulnerabilità critiche e tecniche di evasione sofisticate. Nuove fonti indicano un possibile legame con operazioni di spionaggio più ampie.
Una sofisticata campagna di spionaggio informatico, nota come UAT-6275 (o TAG-193 secondo Recorded Future), continua a destare preoccupazione per il suo impatto su organizzazioni governative in diverse nazioni della Comunità degli Stati Indipendenti (CSI). L'attenzione degli aggressori si è concentrata su settori strategici come acqua, ambiente ed energia, suggerendo un chiaro intento di raccolta di intelligence legato alle complesse dinamiche geopolitiche regionali, potenzialmente esacerbate dal conflitto in Ucraina.
Le indagini più recenti hanno messo in luce una notevole evoluzione nelle metodologie impiegate dal gruppo. Tra giugno 2025 e aprile 2026, sono state identificate quattro distinte catene di infezione, ciascuna con caratteristiche peculiari. Le fasi iniziali della campagna, a partire da giugno 2025, si basavano sull'utilizzo di documenti Word malevoli contenenti macro VBA. Una volta attivate dall'utente, queste macro scaricavano ed eseguivano payload di secondo stadio, dando il via all'infezione.
Successivamente, a partire da luglio 2025, gli attaccanti hanno introdotto downloader creati con PS2EXE. Questi strumenti impacchettavano script PowerShell in file eseguibili, rendendo più difficile il rilevamento. Tali downloader erano capaci di recuperare malware aggiuntivo e di stabilire una persistenza duratura sui sistemi compromessi attraverso l'uso di scheduled tasks (attività pianificate), un metodo comune per garantire l'avvio automatico del malware.
Una terza variante di attacco, emersa nell'ottobre 2025, ha sfruttato collegamenti Windows (shortcut) malevoli. Il clic su questi collegamenti avviava uno script PowerShell che, a sua volta, recuperava ed eseguiva codice dannoso da repository ospitati su GitHub, dimostrando una crescente dipendenza da piattaforme legittime per ospitare i propri strumenti.
La modifica più significativa e preoccupante è stata osservata nell'aprile 2026, quando gli attaccanti hanno dimostrato la capacità di sfruttare la vulnerabilità CVE-2025-8088. Questa falla di tipo path traversal presente in WinRAR ha permesso loro di creare un archivio RAR malevolo. L'exploit consentiva di scrivere un nuovo payload, denominato PickleShell, direttamente nella cartella di avvio (Startup folder) dell'utente. Questo ingegnoso meccanismo garantisce che il malware si attivi automaticamente al successivo accesso al sistema, assicurando persistenza senza la necessità di ottenere privilegi amministrativi elevati.
PickleShell si aggiunge a una suite di reverse shell personalizzati sviluppati dal gruppo, tra cui figurano anche Chvost e Laplas. Questi strumenti sono fondamentali per gli operatori, poiché consentono loro di ottenere un accesso interattivo ai sistemi Windows compromessi e di eseguire comandi da remoto, trasformando le macchine infette in veri e propri terminali controllati a distanza.
L'analisi dell'infrastruttura impiegata dal gruppo, che include repository GitHub e directory di staging pubblicamente accessibili, ha fornito preziose informazioni sulle loro attività di sviluppo e sugli aggiornamenti delle infrastrutture di comando e controllo (C2). Oltre agli strumenti specifici per Windows, sono stati rinvenuti anche strumenti compatibili con Linux e un exploit proof-of-concept per la vulnerabilità CVE-2025-25257 di Fortinet FortiWeb. Sebbene ciò indichi un potenziale interesse verso sistemi Linux e appliance esposte su Internet, al momento non vi sono prove concrete che tali vulnerabilità siano state attivamente sfruttate in questa campagna specifica.
I paesi bersaglio della campagna includono Kazakistan, Kirghizistan, Tagikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaigian, Russia e Bielorussia. I documenti esca utilizzati per indurre le vittime a eseguire il malware coprono una vasta gamma di argomenti, da questioni diplomatiche e commerciali a gestione forestale, ambientale ed energetica, spesso con riferimenti a cooperazioni tra entità statali e private, rendendo più credibile l'ingegneria sociale.
I ricercatori di Talos ritengono, con media confidenza, che il gruppo abbia un legame con il Kazakistan, basandosi su accessi infrastrutturali, artefatti in lingua russa, orari di attività e invii di campioni. È stata inoltre osservata una sovrapposizione con attività tracciate con nomi come Silent Lynx, Tomiris, ShadowSilk, Cavalry Werewolf e Hydra Saiga. Tuttavia, i ricercatori preferiscono mantenere UAT-6275 e YoroTrooper separati in assenza di sovrapposizioni dirette negli indicatori di compromissione o nei set di strumenti.
Le nuove informazioni emerse, sebbene non direttamente collegate a UAT-6275, suggeriscono un panorama di spionaggio informatico sempre più complesso e diversificato. La menzione di aziende come Discover-Tech, che sfruttano annunci online per operazioni di spionaggio su larga scala, evidenzia come le tecniche di attacco si stiano evolvendo per raggiungere un pubblico più vasto, talvolta senza richiedere un'interazione diretta dell'utente (attacchi zero-click). Questo indica una tendenza generale verso metodi di infiltrazione più subdoli e pervasivi, che potrebbero essere impiegati anche da attori statali o gruppi APT per ampliare la loro portata.
Per contrastare efficacemente questo tipo di minacce, le organizzazioni devono adottare un approccio multilivello alla sicurezza. È imperativo applicare tempestivamente le patch per correggere vulnerabilità critiche come la CVE-2025-8088 in WinRAR. Inoltre, è fondamentale implementare un monitoraggio avanzato per rilevare l'esecuzione di script PowerShell sospetti, specialmente quelli avviati da processi inattesi o da documenti Office. Particolare attenzione deve essere dedicata al rilevamento di modifiche non autorizzate nella cartella di avvio, alla creazione di nuove attività pianificate e a connessioni di rete in uscita anomale che potrebbero indicare la presenza di reverse shell o altre forme di comunicazione C2. L'adozione di soluzioni di Endpoint Detection and Response (EDR) e di un robusto sistema di gestione degli alert è cruciale per identificare e rispondere rapidamente a tentativi di intrusione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
