Kazajstán auditará su Ministerio de Asuntos Exteriores tras un importante ciberataque que los investigadores sospechan que puede estar vinculado a piratas informáticos respaldados por el Kremlin, según los medios locales.
El Ministerio Digital kazajo respondió al ataque tras la publicación de un informe que detalla una campaña de ciberespionaje dirigida a entidades diplomáticas en Asia Central, incluido Kazajstán. El grupo de piratas informáticos detrás de esta operación, rastreado como UAC-0063, está potencialmente vinculado al actor de amenazas patrocinado por el estado ruso APT28, también conocido como Fancy Bear o BlueDelta.
Los funcionarios kazajos dijeron al medio de comunicación Orda que han estado al tanto desde la segunda mitad de 2023 de un ciberataque dirigido al Ministerio de Asuntos Exteriores utilizando las cepas de malware CherrySpy y Hatvibe.
Las autoridades decidieron realizar una auditoría del ministerio solo después de que la empresa francesa de ciberseguridad Sekoia publicara un informe sobre el incidente el mes pasado. Con base en los hallazgos de la auditoría, los funcionarios de ciberseguridad de Kazajstán tomarán más medidas, dijo el Ministerio Digital.
Cuando se le preguntó si los piratas informáticos rusos eran los responsables, como alegan Sekoia y otros investigadores, el ministerio dijo a los medios que «era demasiado pronto para decirlo». Anteriormente, la agencia de seguridad nacional de Kazajstán declaró que no tenía información sobre ciberataques respaldados por Rusia contra los sistemas estatales del país.
Los piratas informáticos de UAC-0063 han estado activos desde al menos 2021 y anteriormente han atacado entidades diplomáticas, sin fines de lucro, académicas, energéticas y de defensa en Ucrania, Israel, India y varios países de Asia Central, incluidos Kazajstán, Kirguistán y Tayikistán.
En su última campaña, descubierta por Sekoia, los piratas informáticos utilizaron documentos legítimos, como correspondencia, borradores de documentos o notas administrativas internas, que probablemente se originaron en el Ministerio de Relaciones Exteriores de Kazajstán para entregar malware a las víctimas.
No está claro cómo los piratas informáticos obtuvieron estos documentos. Los investigadores sugirieron que pueden haber sido exfiltrados en una operación cibernética anterior, recopilados de fuentes abiertas o adquiridos a través de medios físicos.
Sekoia identificó casi dos docenas de documentos de este tipo, con fechas entre 2021 y octubre de 2024. La mayoría se referían a la cooperación diplomática y a cuestiones económicas entre Kazajstán y otros países.
Los archivos maliciosos contenían dos cepas de malware conocidas, CherrySpy y Hatvibe, ambas utilizadas anteriormente en campañas de ciberespionaje dirigidas a Asia y Ucrania. La puerta trasera CherrySpy permite a los atacantes ejecutar código Python recibido de un servidor de comando y control, mientras que Hatvibe les permite descargar y ejecutar archivos adicionales en dispositivos infectados.
Los investigadores sugirieron que esta campaña es parte de una operación de ciberespionaje global más amplia dirigida a países de Asia Central, probablemente destinada a recopilar inteligencia estratégica y económica sobre los vínculos de Kazajstán con las naciones de Asia Occidental y Central.