La campagna UAT-6275 allarga il bersaglio a FortiWeb e Windows esposti
Talos e Recorded Future hanno identificato UAT-6275 in attività contro organizzazioni pubbliche dei Paesi della CSI tra giugno 2025 e agosto 2026. Il punto nuovo non è solo il bersaglio regionale: la campagna combina spearphishing e catene basate su vulnerabilità pubbliche, quindi può toccare anche host Windows e appliance FortiWeb esposti su internet con gli stessi difetti.
Le catene osservate includono documenti con macro, downloader PS2EXE, PowerShell ospitato su GitHub e un archivio WinRAR costruito per sfruttare CVE-2025-8088. Talos ha anche visto infrastrutture di staging accessibili pubblicamente e cronologia GitHub con payload, strumenti e modifiche al C2: segni di una campagna che non vive solo di esche mirate, ma anche di scanning opportunistico e PoC pubblici contro servizi esposti.
Per chi difende ambienti governativi e infrastrutture critiche, il messaggio è che il perimetro e gli endpoint non sono più binari separati. Se un FortiWeb è raggiungibile dall’esterno o se una postazione apre archivi ricevuti dall’esterno, la stessa operazione offensiva può passare da una porta all’altra senza cambiare campagna.
CVSS 9.8 CRITICAL: an improper neutralization of special elements used in an SQL command ('SQL Injection') vulnerability [CWE-89]… EPSS 100% (100º percentile).
Data di correzione federale CISA 8 ago · data superata
CVSS 8.8 HIGH: a path traversal vulnerability affecting the Windows version of WinRAR allows the attackers to execute arbitrary code by crafting malicious archive files. EPSS 94% (100º percentile).
Data di correzione federale CISA 2 set · data superata