تحقیقات مشترک بین Cisco Talos و Recorded Future، فعالیت‌های یک عامل تهدید (Threat Actor) را شناسایی کرده است که با نام UAT-6275 (یا TAG-193) شناخته می‌شود. این گروه به‌طور گسترده سازمان‌های دولتی در کشورهای عضو اتحادیه کشورهای مستقل مشترکالمنسوب (CIS) را هدف قرار داده است. تحلیل داده‌های بازیابی شده نشان می‌دهد که این گروه به‌ویژه بر منابع آبی و زیرساخت‌های انرژی تمرکز دارد که احتمالاً با اهداف جمع‌آوری اطلاعات استراتژیک در پیوند است.
زنجیره‌های سرایت و متدهای نفوذ
این عامل تهدید در بازه زمانی ژوئن ۲۰۲۵ تا آگوست ۲۰۲۶، از چهار زنجیره سرایت (Infection Chain) مختلف برای نفوذ به سیستم‌های هدف استفاده کرده است:
- زنجیره A: استفاده از اسناد Word حاوی Macro برای دانلود و اجرای فایل‌های باینری مرحله دوم.
- زنجیره B: به‌کارگیری دانلودرهایی که با ابزار PS2EXE ساخته شده‌اند تا اسکریپت‌های PowerShell را به صورت فایل‌های اجرایی Windows ارائه دهند.
- زنجیره C: استفاده از Shortcutهای مخرب برای اجرای اسکریپت‌های PowerShell میزبانی شده در GitHub جهت ایجاد دسترسی Remote Shell.
- زنجیره D: بهره‌برداری از آسیب‌پذیری CVE-2025-8088 در نرم‌افزار WinRAR برای قرار دادن بدافزار در پوشه Startup ویندوز.
ابزارهای مورد استفاده و زیرساخت‌ها
UAT-6275 برای کنترل سیستم‌های قربانی از Reverse Shellهای سفارشی از جمله Chvost، Laplas و PickleShell استفاده می‌کند. همچنین در زیرساخت‌های این گروه، ابزارهایی سازگار با لینوکس و یک Proof-of-Concept برای اکسپلویت FortiWeb (CVE-2025-25257) مشاهده شده است که نشان‌دهنده تلاش این گروه برای گسترش قابلیت‌های عملیاتی خود به سمت تجهیزات شبکه و سیستم‌های غیرویندوزی است.
تحلیل هدف‌گذاری و منشأ
هدف‌های این گروه عمدتاً در آسیای مرکزی و منطقه CIS (از جمله قزاقستان، قرقیزستان، تاجیکستان، ترکمنستان، ازبکستان، ارمنستان، آذربایجان، روسیه و بلاروس) متمرکز است. این حملات به‌طور خاص سازمان‌های مسئول در حوزه‌های دیپلماسی، توسعه اقتصادی، کشاورزی و مدیریت محیط زیست را هدف قرار داده‌اند.
تحلیلگران با اطمینان متوسط (Medium Confidence) معتقدند که این گروه دارای منشأ قزاقستانی است. این نتیجه‌گیری بر اساس تحلیل ساعات کاری اپراتورها (مطابق با UTC+5)، آرتیفکت‌های زبانی و تحلیل نمونه‌های ارسالی به پلتفرم‌های آنتی‌ویروس صورت گرفته است.
توصیه‌های امنیتی برای مدیران SOC
برای مقابله با این تهدید، توصیه می‌شود اقدامات زیر در اولویت قرار گیرند:
- رصد دقیق فعالیت‌های غیرمنتظره PowerShell و دانلودهای مشکوک از سرویس‌های عمومی مانند GitHub.
- مانیتورینگ تغییرات در Task Scheduler و پوشه‌های Startup سیستم‌ها.
- به‌روزرسانی سریع ابزارهای آرشیو (مانند WinRAR) برای بستن حفره‌های امنیتی مورد استفاده در زنجیره سرایت D.
