گروه TAG-193 در یک کمپین گسترده، نهادهای دولتی مسئول دیپلماسی، توسعه اقتصادی، کشاورزی و مدیریت محیط زیست را هدف قرار داده است. این سازمان‌ها حاوی اطلاعاتی هستند که می‌تواند بر مذاکرات، برنامه‌ریزی‌های اقتصادی و تصمیمات امنیتی منطقه‌ای تأثیرگذار باشد. در آسیای مرکزی، به دلیل وجود سیستم‌های رودخانه‌ای مشترک و زیرساخت‌های متصل انرژی و حمل‌ونقل، این اطلاعات ارزش استراتژیک ویژه‌ای دارند.
تمرکز بر دیپلماسی و امنیت منابع آبی
تحقیقات نشان می‌دهد که نفوذهای TAG-193 اغلب با تحولات دیپلماتیک مرتبط بوده‌اند. برای مثال، پس از بررسی پارلمانی یک معاهده در قزاقستان، ارتباطاتی بین یک نهاد دولتی تاجیکستان و زیرساخت‌های این عامل تهدید مشاهده شد. همچنین، فعالیت‌های مشکوک در یک نهاد کشاورزی بلاروس، درست پیش از یک نشست دوجانبه سطح بالا در آستانه رخ داده است.
علاقه مکرر این گروه به مؤسسات مدیریت منابع و محیط زیست نیز قابل توجه است. فعالیت‌های شناسایی شده شامل هدف قرار دادن یک نهاد دولتی ارمنستان در امور محیط زیست و زیرساخت‌های مربوط به ابتکار Smart Forestry در ازبکستان است. همچنین، هدف قرار دادن مناطقی در روسیه که در حوضه دریای خزر قرار دارند، نشان‌دهنده استراتژی جمع‌آوری اطلاعات در مورد منابع آبی است؛ موضوعی که در قزاقستان به دلیل وابستگی به منابع آبی فرامرزی، مستقیماً با ثبات اقتصادی و امنیت ملی گره خورده است.
تکنیک‌های دسترسی و تداوم (Persistence)
عامل تهدید TAG-193 برای افزایش اعتبار ارتباطات خود، از ایمیل‌های فیشینگ هدفمند (Spearphishing) ارسال شده از حساب‌های دولتی هک شده استفاده می‌کند. برخی از فایل‌های ترغیب‌کننده (Lures) شناسایی شده شامل نامه‌های دیپلماتیک خطاب به وزارت امور خارجه ارمنستان و پیشنهادهای تجاری مربوط به پالایشگاه‌های نفت روسیه بوده‌اند.
این گروه همچنین از سرویس‌های عمومی مانند GitHub برای میزبانی اسکریپت‌های مخرب و پی‌لودها (Payloads) استفاده می‌کند تا محتوای مخرب را در جریان کارهای روتین دولتی پنهان کند. اشتباهات در امنیت عملیاتی (OpSec) این گروه باعث شد تا محققان بتوانند دایرکتوری‌های اکسپوز شده در زیرساخت‌های آن‌ها را شناسایی کرده و ابزارهای مورد استفاده‌شان را ردیابی کنند.
ابزارهای فنی و اکسپلویت‌ها
TAG-193 به شدت بر ریورس شل‌های (Reverse Shells) سبک و تعاملی تکیه دارد تا بتواند دستورات را روی سیستم‌های قربانی اجرا کند. ابزارهای این گروه شامل LAPLAS، نسخه‌های مختلف FoalShell و ریورس شل‌های مبتنی بر PowerShell است.
در تحلیل زنجیره‌های سرایت (Infection Chains)، یک روش جدید مشاهده شد که از اکسپلویت برای تحویل بدافزار استفاده می‌کرد. در آوریل ۲۰۲۶، این گروه با بهره‌برداری از آسیب‌پذیری CVE-2025-8088 در نرم‌افزار WinRAR، بدافزار را در پوشه Startup ویندوز قرار داد تا با هر بار ورود کاربر، اجرا شود. این موضوع نشان‌دهنده تغییر استراتژی گروه از مهندسی اجتماعی صرف به سمت استفاده از اکسپلویت‌های فنی است.
تحلیل منشأ و توصیه‌های دفاعی
شواهد موجود از جمله آرتیفکت‌های به زبان روسی، تست‌های بدافزار از قزاقستان و الگوهای زمانی فعالیت، نشان می‌دهد که TAG-193 احتمالاً از قزاقستان فعالیت می‌کند، هرچند وابستگی سازمانی یا حمایت دولتی آن‌ها هنوز به طور قطعی اثبات نشده است.
برای تیم‌های SOC و مدیران امنیت، توصیه می‌شود موارد زیر را در اولویت قرار دهند:
- پایش دقیق حساب‌های ایمیلی سازمان‌های محیط زیستی، اقتصادی و دیپلماتیک.
- مانیتورینگ ترافیک مربوط به سرویس‌های میزبانی عمومی (مانند GitHub) در شبکه‌های دولتی.
- به‌روزرسانی فوری نرم‌افزارهای آرشیو (مانند WinRAR) برای جلوگیری از اکسپلویت‌های شناخته شده.
- شناسایی و تحلیل فعالیت‌های غیرمنتظره دسترسی از راه دور (Remote Access) در سیستم‌های حساس.
