De groep UAT-6275, ook bekend als TAG-193, toonde tussen juni 2025 en augustus 2026 brede activiteit. De aanvang van hun activiteiten in juni 2025 bestond uit het gebruik van macro-enabled Word-documenten die, na het inschakelen van macro's, een ander programma downloadden en uitvoerden. Vanaf juli 2025 begon de groep PS2EXE downloaders in te zetten om PowerShell-scripts als Windows executables te verpakken, reverse-shell payloads op te halen en geplande taken aan te maken voor persistentie.

In oktober 2025 lanceerde de groep kwaadaardige snelkoppelingen om PowerShell-scripts van GitHub op te halen. Latere versies van deze methode voegden ook PickleShell toe aan de Startup-map. Deze eerdere fasen suggereren dat de latere WinRAR-exploitatie werd gebruikt om een bestaande toolkit uit te breiden, in plaats van deze te vervangen.

In april 2026 voegde de groep een nieuwe methode toe, namelijk het misbruiken van een bekende WinRAR-kwetsbaarheid, CVE-2025-8088. Deze path traversal-kwetsbaarheid stelt aanvallers in staat om met speciaal geconstrueerde archieven bestanden buiten de gekozen extractiemap te schrijven. Dit werd uitgevoerd via een RAR-archief met twee zichtbare PDF-decoys, die verborgen payloadrecords bevatten die gebruikmaakten van NTFS alternate data streams.

De aanval met de WinRAR-kwetsbaarheid, geclassificeerd als Chain D, maakte het mogelijk om deze records, die de custom reverse shell genaamd PickleShell bevatten, in de Startup-map van de huidige gebruiker te plaatsen in plaats van de verwachte extractielocatie. Het archief bevatte tien verborgen streamnamen die naar dezelfde payload wezen, met verschillende aantallen stappen terug in de mapstructuur om te helpen bij het omgaan met verschillende extractielocaties. Een succesvolle schrijfoperatie plaatste de executable in de Startup-map zonder dat hiervoor beheerdersrechten nodig waren. De malware, PickleShell, werd gestart bij de volgende aanmelding, wat de aanvaller een voet aan de grond gaf zonder verdere prompts.

PickleShell is een C#/.NET reverse shell die zich voordoet als een Windows-servicecomponent. De geanalyseerde payload start een verborgen command shell en stuurt commando-invoer en -uitvoer door naar de control server. Latere versies gebruikten versleutelde verbindingen. Met deze tools kunnen aanvallers commando's versturen naar geïnfecteerde computers en de resultaten ontvangen via externe verbindingen. Onderzoekers vonden ook een stabiele identificatiecode in negen samples, wat verdedigers een andere manier biedt om gerelateerde bestanden te detecteren ondanks naamswijzigingen.

De activiteiten van UAT-6275 richten zich op overheidsorganisaties in het Gemenebest van Onafhankelijke Staten (GOS), waaronder Kazachstan, Kirgizië, Tadzjikistan, Turkmenistan, Oezbekistan, Armenië, Azerbeidzjan, Rusland en Wit-Rusland. Het gerichte werk omvatte diplomatie, economische planning, landbouw, milieubeheer en energie. Decoys omvatten een Armeense diplomatieke brief en een voorstel betreffende Turkmenistan's Turkmennebit en Rusland's Orsk Olierefinaderij, wat duidt op interesse in regionale gesprekken en grondstoftoevoer.

Cisco Talos-onderzoekers identificeerden de malware in samenwerking met Recorded Future's Insikt Group. Talos beoordeelde een Kazachse connectie met gemiddelde zekerheid, verwijzend naar taalclues, testinzendingen, infrastructuurtoegang en werktijden consistent met UTC+5. Dit vestigt echter geen overheidssteun. Eerdere Silent Lynx phishing-campagnes gebruikten vergelijkbare overheidsgerelateerde bijlagen en snelkoppelingen. Talos rapporteerde overlap met Silent Lynx, maar blijft UAT-6275 apart volgen van YoroTrooper omdat er geen directe indicator- of toolset-overlap tussen die twee groepen werd waargenomen.

Drie blootgestelde staging-directories en een eerder niet-gerapporteerd GitHub-repository gaven onderzoekers toegang tot payloads, toollijsten en infrastructuurwijzigingen. De geschiedenis van de repository hielp bij het traceren van malware-updates en wijzigingen in control servers. Vergelijkbare GitHub-methoden voor malwarelevering komen voor in ongerelateerde campagnes, wat benadrukt waarom verdedigers scriptgedrag moeten onderzoeken in plaats van aan te nemen dat downloads van een betrouwbaar platform veilig zijn. Onderzoekers herstelden ook Linux-compatibele tools en een publieke FortiWeb-exploit, maar het gezamenlijke rapport bevestigde niet dat deze actor FortiWeb-systemen in het wild had geëxploiteerd.

Organisaties moeten getroffen WinRAR-installaties updaten naar een ondersteunde versie die de in versie 7.13 geïntroduceerde correctie bevat. Andere WinRAR-exploitatiecampagnes tonen aan waarom archiefsoftware regelmatige patchcontroles verdient. Beveiligingsteams moeten onverwachte bestanden in de Startup-map, nieuwe geplande taken, verborgen PowerShell-sessies en scripts gedownload van openbare repositories controleren, vooral wanneer deze gebeurtenissen volgen op archiefextractie of verdachte e-mailbijlagen. De bevinding vereist ook zorgvuldige incidentanalyse: het verwijderen van de originele RAR-bijlage verwijdert geen payload die al naar de Startup-map is geschreven. Verdedigers moeten bestandscreatie, procesuitvoering en uitgaand verkeer verbinden bij het controleren van vermeende infecties. Talos publiceerde ClamAV-handtekeningen en Snort-regels voor dekking, terwijl het gezamenlijke technische rapport hashes en netwerkindicatoren biedt die kunnen worden gebruikt voor zoekopdrachten in endpointrecords en opgeslagen logs tijdens incidentrespons en threat hunting.