2026-10-16 12:54:40 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

打破沉默：哈萨克斯坦背景的 UAT-6275 针对独联体政府机构

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年10月15日 09:03
湖北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导读

Talos 和 Recorded Future 识别出针对独联体国家政府组织的 UAT-6275 活动迹象。恢复的遗留物显示了对水资源和能源的额外关注。

Cisco Talos与Recorded Future的研究人员联合调查了针对独联体国家政府机构的UAT-6275黑客活动。

此次调查发现三个可公开访问的暂存目录，以及一个此前未被披露的GitHub代码仓库，该仓库被用于托管恶意脚本和有效载荷。

这些暴露的资产让研究人员得以了解该威胁组织的恶意软件开发、基础设施变更情况，以及其为开展更多入侵活动所做的准备。

Talos 将该活动标记为 UAT-6275，而 Recorded Future 将其标记为 TAG-193。该活动与Silent Lynx（由 Seqrite 首次披露）存在重叠，且隶属于与YoroTrooper相关的一系列更广泛的活动。

recovered的相关证据显示，该组织还对水资源和能源领域表现出额外兴趣。这一关注点与情报收集行为相符，也可能反映出俄乌战争带来的地区影响。

在2025年6月至2026年8月的活动监测中，Talos识别出四种感染链类型，分别利用启用宏的文档、PS2EXE下载器、GitHub托管的PowerShell，以及通过特制WinRAR归档文件利用CVE-2025-8088漏洞。恢复的有效负载包含多款自定义反向Shell，可提供交互式远程访问。

三个公开可访问的暂存目录以及GitHub代码仓库的历史记录暴露了有效载荷构建、工具清单以及命令与控制（C2）基础设施的变更。这些操作安全漏洞使研究人员得以直接掌握该组织近期的活动情况。

从暴露的基础设施中恢复的文件表明，相关方已为入侵后行动做准备，且可能针对Linux主机和面向互联网的设备开展活动。

Talos 以中等置信度评估，基于基础设施访问、语言特征、样本提交、工作时长分析以及区域定向兴趣，UAT-6275 与哈萨克斯坦存在关联。

UAT-6275的攻击目标集中在中亚及更广泛的独联体地区。在此次审查的相关活动中，已发现的受害者及诱饵主题涉及九个国家：哈萨克斯坦、吉尔吉斯斯坦、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦、亚美尼亚、阿塞拜疆、俄罗斯和白俄罗斯。

UAT-6275 针对负责外交、经济发展、农业和环境管理的政府机构。这些机构掌握的信息可为双边谈判、经济规划和地区安全决策提供参考。

网络流量分析发现，塔吉克斯坦某政府实体的相关活动出现在2026年3月与哈萨克斯坦进行条约磋商后不久，而白俄罗斯某政府实体的相关活动则发生在4月一次双边会议之前。这一时间节点可能表明相关方对地区外交动态存在关注。

截获的诱饵文件还显示，对方对外交关系、国际贸易和航空领域抱有兴趣。相关例子包括一封致亚美尼亚外交部的外交信函。

伪装成俄罗斯致亚美尼亚共和国外交部外交贺信的诱饵文件

该集团对区域资源的关注涵盖环境管理与能源领域。Talos监测到相关活动，涉及亚美尼亚负责环境事务的政府实体以及乌兹别克斯坦的智慧林业（Smart Forestry）计划，这与此前报告中“沉默猞猁（Silent Lynx）针对中亚地区水资源组织”的内容相符。

以能源为主题的诱饵包括土库曼斯坦国家石油公司土库曼内比特（Turkmennebit）与俄罗斯奥尔斯克炼油厂之间的一份合作提案，该提案被用于2025年8月的样本中。

该炼油厂向哈萨克斯坦供应石油产品，并在2026年8月遭乌克兰无人机袭击后停工，预计维修时间长达六个月。这些关联表明，情报机构可能对该地区的燃料供应以及战争对哈萨克斯坦能源安全的影响感兴趣。

冒充土库曼纳比特并提议与奥尔斯克炼油厂管理层合作的诱饵

自2025年1月Seqrite首次披露“沉默猞猁”（Silent Lynx）活动以来，截至2026年5月，研究人员已在该地区识别出至少八次相关攻击行动。这些行动包括针对俄罗斯、土库曼斯坦和乌兹别克斯坦的恶意软件分发活动；一个冒充阿塞拜疆国家公共服务局的凭证窃取网站；以及以中亚峰会和俄罗斯能源基础设施为诱饵的攻击手段。

2026年，研究人员还监测到针对塔吉克斯坦、亚美尼亚、白俄罗斯政府机构的相关活动，以及5月针对乌兹别克斯坦“智慧林业”项目的攻击。

活动时间线

Talos发现三个可公开访问的暂存目录，其中包含UAT-6275组织的恶意软件和工具。其中一个样本指向了此前未被报道的GitHub代码仓库，该组织在此托管了PowerShell脚本和有效载荷。其提交记录让我们得以追踪基础设施的变更情况以及恶意软件的开发过程。

该组织依赖轻量级反向Shell（包括Chvost、Laplas和PickleShell）在已被入侵的系统上执行命令。

研究人员还从 UAT-6275 基础设施中恢复了与 Linux 兼容的工具，以及 FortiWeb 漏洞 CVE-2025-25257 的公开概念验证漏洞利用代码。这些发现表明，该组织有兴趣拓展其运营能力。

UAT-6275 利用恶意文档、可执行下载程序和快捷方式传播恶意软件，后续还整合了 WinRAR 漏洞利用代码。Talos 根据样本获取并执行有效载荷的方式，将 recovered 样本分为 A 至 D 四个感染链。

Talos以中等置信度评估，UAT-6275 与哈萨克斯坦存在关联。佐证证据包括俄语相关痕迹、编译后不久来自哈萨克斯坦的疑似恶意软件测试提交，以及与 UTC+5 时区工作时间相符的操作员活动。

报告链接：

https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/

今日安全资讯速递

APT事件

Advanced Persistent Threat

黑客通过 Collabora 内置 CODE App 中的严重漏洞为 Nextcloud 服务器植入后门

攻击者利用了 Nextcloud 一款可选应用程序 Collabora Online - 内置 CODE 服务器中的漏洞，在 Nextcloud 服务器上植入了网页后门。

🔗https://thehackernews.com/2026/10/hackers-backdoor-nextcloud-servers.html

打破沉默：哈萨克斯坦背景的 UAT-6275 针对独联体政府机构

Talos 和 Recorded Future 识别出针对独联体国家政府组织的 UAT-6275 活动迹象。恢复的遗留物显示了对水资源和能源的额外关注。

🔗https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/

一般威胁事件

General Threat Incidents

Microsoft 捣毁 3 个涉及超 10 亿条诈骗信息的网络钓鱼套件

微软宣布捣毁三个钓鱼工具包，分别是CoGUI（又称 NX 或 FA）、Haozi（又称 Phoenix）以及钢铁侠系统（Iron Man System）。

🔗https://thehackernews.com/2026/10/microsoft-disrupts-3-phishing-kits.html

黑客将法国超市的冷库升温至 50 度，导致数百家商店库存损失

黑客通过未打补丁的 Danfoss 制冷系统、远程加热冷柜以及销毁价值数百万的库存攻击了法国超市。

🔗https://securityaffairs.com/200863/hacking/hackers-cranked-french-supermarkets-freezers-up-to-50-degrees-causing-hundreds-of-stores-to-lose-their-stock.html

低端安卓手机预装恶意软件，将其变成住宅代理

这项针对多个品牌基于联发科平台构建的 Android 设备的活动，被 Bitdefender 以“Midnight Mimosa”为代号进行追踪。

🔗https://thehackernews.com/2026/10/low-cost-android-phones-ship-with.html

Canonical 2026 年遭遇第二次 DDoS 攻击，公共网站中断

Ubuntu 的母公司Canonical 今年遭受了第二次 DDoS 攻击，导致公共网站中断超过四个小时。

🔗https://securityaffairs.com/200832/security/canonical-hit-by-second-ddos-attack-in-2026.html

Luna Moth 泄露事件披露勒索软件组织内部运作机制

泄露的文件表明这是一次多管齐下的行动，社会工程学攻击者与技术型攻击者协同工作，以操控单一目标。

🔗https://www.infosecurity-magazine.com/news/luna-moth-leaks-ransomware-playbook/

数月前的 Palo Alto VPN 漏洞仍是勒索软件组织的目标

据 ReliaQuest 称，尽管Palo Alto公司的产品已在五个月前发布安全补丁，但勒索软件团伙仍在针对其中一个高危漏洞展开攻击。包括麒麟和塞特拉勒索软件团伙在内的多个组织，正利用CVE-2026-0257漏洞发起攻击，以建立未授权的VPN会话并获取对内部网络的初始访问权限。

🔗https://www.infosecurity-magazine.com/news/palo-alto-vpn-vulnerability-target/

漏洞事件

Vulnerability Incidents

Cisco 警告活跃攻击正在利用新的安全电子邮件网关漏洞

思科在周三的一份公告中表示，攻击者正在利用思科安全邮件网关中的一个严重漏洞，该漏洞允许未登录的发件人向设备的操作系统写入文件。

🔗https://thehackernews.com/2026/10/cisco-warns-of-active-attacks.html

CISA 警告管理员立即修复被利用为零日漏洞的 Ivanti 漏洞

CISA敦促立即修补一个 Ivanti Connect Secure (ICS) 漏洞，该漏洞自10月1日起就被用于零日攻击。该漏洞编号为CVE-2026-104935，是高严重级别的身份验证绕过漏洞，远程攻击者通过无需用户交互的低复杂度攻击，在目标工业控制系统（ICS）上执行任意命令。

🔗https://www.bleepingcomputer.com/news/security/cisa-warns-admins-to-immediately-fix-ivanti-flaw-exploited-as-zero-day/

严重 SonicWall SMA 1000 漏洞在补丁发布后遭 135 次利用尝试

攻击者在 SonicWall Secure Mobile Access（SMA）1000 设备的关键安全漏洞公开披露后的数天内，就利用了这一近期披露的漏洞。该漏洞编号为 CVE-2026-102255（通用漏洞评分系统评分：10.0），属于未认证的服务器端请求伪造（SSRF）漏洞，可被远程攻击者利用“指示设备以其名义发出请求，访问内部功能并执行未授权操作”。

🔗https://thehackernews.com/2026/10/critical-sonicwall-sma-1000-flaw.html