Die Angreifer attackierten Regierungsinstitutionen in neun Ländern oder zeigten Interesse an ihnen, darunter Russland, Belarus, Armenien, Usbekistan und Tadschikistan. Besonderes Interesse galt nach Angaben der Forscher Behörden für Außenpolitik, Wirtschaftsentwicklung, Landwirtschaft und Umweltmanagement sowie Informationen über regionale Energieversorgung und Wasserressourcen.

„Diese Organisationen verfügen über Informationen, die Verhandlungen, Wirtschaftsplanung und regionale Sicherheitsentscheidungen beeinflussen können", erklärte die Insikt Group. „In ganz Zentralasien verleihen gemeinsam genutzte Flusssysteme sowie verflochtene Energie- und Verkehrsinfrastrukturen solchen Informationen besonderen strategischen Wert."

Die Zuordnung zu Kasachstan treffen die Forscher mit mittlerer Zuversicht. Als Indizien nennen sie russischsprachiges Material in der Schadsoftware, Hinweise darauf, dass Schadprogramme kurz nach ihrer Erstellung aus Kasachstan heraus getestet wurden, sowie Aktivitätszeiten, die weitgehend den Arbeitszeiten in der dortigen Zeitzone entsprechen. Zudem überschneiden sich die Operationen mit früheren Spionagekampagnen, die YoroTrooper zugeschrieben werden — einem mutmaßlich in Kasachstan ansässigen Akteur, der 2022 in Erscheinung trat und vor allem Regierungen in Zentralasien und Nachbarländern ins Visier nahm.

Bei einem der jüngsten Angriffe richtete sich TAG-193 gegen eine tadschikische Regierungsstelle, kurz nachdem im März 2026 Vertragsgespräche mit Kasachstan stattgefunden hatten. Eine weitere Operation zielte im Vorfeld eines bilateralen Treffens im April auf eine belarussische Regierungsstelle. Die zeitliche Nähe könne auf ein Interesse an diplomatischen Entwicklungen hindeuten, belege aber weder, welche Informationen gesucht wurden, noch ob die Angreifer sie erlangten.

Interesse zeigte die Gruppe außerdem an Umwelt- und Ressourcenverwaltung, darunter eine armenische Behörde für Umweltfragen und die usbekische Initiative Smart Forestry.

Der Zugang erfolgt typischerweise über Phishing-Mails mit schädlichen Anhängen, die teils von bereits kompromittierten, legitimen Behörden-Mailkonten versendet werden. Die Nachrichten nutzen offiziell wirkende Dokumente, etwa diplomatische Korrespondenz, Luftfahrtformulare und Geschäftsangebote. Zur Ablage schädlicher Skripte und Dateien griffen die Angreifer zudem auf die Entwicklungsplattform GitHub zurück, wodurch ihre Aktivitäten zwischen legitimem Datenverkehr weniger auffielen.

Im April 2026 wurde beobachtet, wie die Gruppe eine Sicherheitslücke im Packprogramm WinRAR ausnutzte — bei einer Operation, die sich wahrscheinlich gegen das armenische Außenministerium richtete. Die als CVE-2025-8088 geführte Schwachstelle erlaubte es den Angreifern, Schadsoftware in einem Windows-Ordner abzulegen, dessen Inhalte beim Anmelden eines Nutzers automatisch ausgeführt werden. Es war den Forschern zufolge das erste Mal, dass die Gruppe eine Softwareschwachstelle zur Auslieferung von Schadcode nutzte — ein Hinweis darauf, dass sie ihre Methoden über täuschende Mails und Dokumente hinaus erweitert.

Die Forscher erwarten, dass die Gruppe weiterhin diplomatische Einrichtungen und Behörden angreift, die strategische Ressourcen der Region verwalten. „Die anhaltenden Operationen und die Übernahme zusätzlicher Zustellungstechniken deuten auf fortgesetzte Investitionen hin, um Zugang zu Institutionen mit strategisch interessanten Informationen zu erlangen", hieß es.