НизкийII Кибервойна и критическая инфраструктура14 октября 2026 г., среда
Связанная с Казахстаном группа охотится за водными и энергетическими документами правительств СНГ
14 октября Cisco Talos и Recorded Future сообщили, что группа, которую они со средней уверенностью связывают с Казахстаном, с января 2025 года провела не менее 8 кампаний против госорганов 9 стран. Похищенные файлы указывают на интерес к водным ресурсам и энергетике.
Группу, которую Talos называет UAT-6275, а Recorded Future — TAG-193, отслеживали по жертвам и темам приманок в Казахстане, Кыргызстане, Таджикистане, Туркменистане, Узбекистане, Армении, Азербайджане, России и Беларуси. Talos опирается на 3 признака: русскоязычные артефакты в коде, загрузку вредоноса для тестов из Казахстана и работу операторов в рабочие часы по UTC+5. В апреле 2026 года группа использовала уязвимость WinRAR CVE-2025-8088, вероятнее всего против МИД Армении. По данным The Record, это первый известный случай эксплуатации уязвимости этой группой.
Выбор целей следует дипломатическому календарю. По данным The Record, таджикское ведомство атаковали вскоре после переговоров с Казахстаном о соглашении в марте 2026 года, а белорусское — перед двусторонней встречей в апреле. Talos зафиксировал в мае 2026 года активность против природоохранного ведомства Армении и узбекской инициативы «Умное лесное хозяйство». Приманка от августа 2025 года предлагала от имени «Туркменнебит» сотрудничество с Орским НПЗ. В августе 2026 года этот завод остановился после атаки беспилотника. Что именно похищено, не подтверждено.
Оценка Talay
Вывод
Находка позволяет предположить, что кибершпионаж в Центральной Азии исходит не только от России и Китая. Государства региона, похоже, и сами следят за соседями в торге о воде и энергии. Атрибуция остаётся на уровне средней уверенности, поэтому ответственность государства не доказана. Наиболее вероятный путь — группа продолжит атаковать дипломатические и ресурсные ведомства, всё чаще эксплуатируя уязвимости.
Возможные последствия
- Водная дипломатия регионаНегативно1–6 месяцев
Активность против природоохранного ведомства Армении и лесной инициативы Узбекистана может создать информационную асимметрию на переговорах о трансграничной воде и ресурсах.
- ИТ-безопасность госсектораНегативноНедели
Переход группы на уязвимость WinRAR в апреле 2026 года показывает, что обучения против фишинга мало. Решающей для ведомств СНГ становится скорость установки патчей.
- ТурцияНеопределённо1–6 месяцев
Туркменистан и Азербайджан в списке целей — повод для организаций-партнёров по каспийским энергопроектам насторожиться в отношении документов-приманок.
Вероятные сценарии
- 1Кампании продолжаются65 %
Группа продолжает атаковать дипломатические и ресурсные ведомства с новыми приманками.
Что отслеживать: Новые индикаторы UAT-6275/TAG-193 от Talos и Recorded Future
- 2Официальная реакция20 %
Одна из стран-целей официально связывает активность с Казахстаном и направляет дипломатическую ноту.
Что отслеживать: Заявление МИД Армении или Таджикистана
- 3Группа затихает15 %
После разоблачения инфраструктура меняется, и активность месяцами остаётся незаметной.
Что отслеживать: Исчезновение новых образцов вредоноса с хостингом на GitHub
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Страны-цели▼ 9
- Кампании▼ не менее 8