カザフスタン関連の疑いがあるハッカー集団、旧ソ連諸国の政府機関を標的に

カザフスタンとのつながりが疑われるサイバー諜報グループが、中央アジアをはじめとする旧ソ連諸国の政府機関を標的に、外交問題や経済政策、戦略資源に関する情報を狙っていたことが、新たな調査で明らかになりました。

このハッカー集団は、Cisco Talosでは「UAT-6275」、Recorded FutureのInsikt Groupでは「TAG-193」として追跡されています。両チームが共同で公表した報告書によると、2025年1月以降に少なくとも8件の攻撃キャンペーンを実行していました。なお、The RecordはRecorded Futureの編集上独立した部門です。

研究者らによると、この攻撃キャンペーンはロシア、ベラルーシ、アルメニア、ウズベキスタン、タジキスタンなど9カ国の政府機関を標的にしたか、関心を示していました。

研究者らは、ハッカーらが特に外務、経済開発、農業、環境管理を所管する政府機関に関心を寄せていたほか、地域のエネルギー供給や水資源に関する情報にも注目していたと指摘しています。

Insikt Groupは「これらの組織は、交渉や経済計画、地域の安全保障に関する意思決定に役立つ情報を保有している。中央アジアでは、共有河川システムやエネルギー・輸送インフラが相互に結びついており、こうした情報には特別な戦略的価値がある」と述べています。

地元に根ざした手がかり

研究者らは、このハッカー集団がカザフスタンと関係していると中程度の確度で評価しています。

根拠としては、マルウェア内で見つかったロシア語の素材や、マルウェアの作成直後にカザフスタンから動作テストが行われたことを示す証拠、同国のタイムゾーンの勤務時間帯とおおむね一致するハッキング活動などが挙げられます。

同グループの活動は、過去のサイバー諜報キャンペーンとも重なっています。それはYoroTrooperに関連するものです。YoroTrooperは2022年に登場したカザフスタン拠点の脅威アクターとみられ、主に中央アジアとその近隣諸国の政府を標的にしてきました。

最新の攻撃の一つでは、TAG-193のハッカーが、2026年3月に行われたカザフスタンとの条約協議の直後に、タジキスタンの政府機関を狙いました。別の攻撃では、4月の二国間会談を前にベラルーシの政府機関が標的になりました。

研究者らは、こうしたタイミングは外交上の動向への関心を示している可能性があるとしつつも、ハッカーらがどのような情報を求めていたのか、あるいは入手したのかまでは確認できないとしています。

このグループは、環境や天然資源の管理にも関心を示しており、アルメニアの環境問題を所管する政府機関や、ウズベキスタンの「Smart Forestry」構想も対象に含まれていました。

ハッキングの手口

同グループは通常、悪意のある添付ファイルを含むフィッシングメールで標的への侵入を試みます。すでに乗っ取られた正規の政府機関のメールアカウントから送信されることもあります。

メールには、外交文書や航空関連の書式、事業提案書など、公式文書を装ったものが使われていました。

研究者らによると、ハッカーらはソフトウェア開発プラットフォームのGitHubも悪用して悪意のあるスクリプトやファイルを保管し、正規のオンライン活動に紛れ込むようにしていました。

2026年4月には、アルメニア外務省を狙ったとみられる攻撃で、ファイル圧縮ソフトWinRARのセキュリティ脆弱性を悪用する様子が確認されました。

この脆弱性は「CVE-2025-8088」として追跡されており、攻撃者はユーザーのサインイン時にプログラムを自動実行するWindowsのフォルダにマルウェアを配置できました。

研究者らは、同グループがソフトウェアの脆弱性を悪用してマルウェアを配布する様子を確認したのは初めてだと説明しています。だましのメールや文書にとどまらず、手口を拡大しつつあることがうかがえます。

研究者らは、同グループが今後も、地域の戦略資源を管理する外交機関や政府機関を標的にし続けると予想しています。

研究者らは「継続的な活動と新たな配布手法の採用は、戦略的に重要な情報を保有する組織へのアクセス獲得に、引き続き投資していることを示唆している」と付け加えています。