Powiązana z Chinami grupa cyberprzestępcza znana jako TA4922 rozszerzyła zakres ataków poza Azję Wschodnią, prowadząc kampanie phishingowe i malware'owe przeciwko organizacjom w Wielkiej Brytanii, Niemczech, Włoszech i Republice Południowej Afryki.
Według Proofpoint grupa wykazuje szybkie tempo operacyjne i stale ewoluujący arsenał złośliwego oprogramowania. Jej zestaw narzędzi obejmuje znane rodziny malware'u, takie jak ValleyRAT, znany również jako Winos 4.0, oraz Atlas RAT, znany też jako AtlasCross RAT, a także nowo opisane narzędzia o nazwach RomulusLoader i SilentRunLoader.
Choć grupy zagrożeń powiązane z Chinami są często omawiane w kontekście szpiegostwa, TA4922 wydaje się działać raczej z motywacji finansowych. Aktywność grupy koncentruje się na uzyskaniu zdalnego dostępu do środowisk ofiar w celach takich jak kradzież danych, oszustwa, odsprzedaż dostępu i długoterminowe utrzymanie obecności.
Kampania pokazuje, jak szybko regionalne operacje cyberprzestępcze mogą przerodzić się w szersze zagrożenia międzynarodowe.
Kim jest TA4922?
Proofpoint śledzi tę aktywność pod nazwą TA4922 i opisuje grupę jako chińskojęzycznego aktora zagrożeń, który historycznie koncentrował się na Azji Wschodniej.
Uważa się, że grupa częściowo pokrywa się z Silver Fox, innym klastrem zagrożeń powiązanym z Chinami. Aktywność TA4922 wydaje się jednak bardziej zbliżona do cyberprzestępczości niż do tradycyjnego szpiegostwa państwowego.
Prawdopodobne cele grupy obejmują:
- zdalny dostęp do systemów ofiar
- kradzież danych uwierzytelniających
- kradzież danych
- umożliwianie oszustw
- odsprzedaż dostępu
- wdrażanie dodatkowego złośliwego oprogramowania
- długoterminowe utrzymanie obecności w skompromitowanych środowiskach
Czyni to TA4922 niebezpiecznym nie tylko dla organizacji w pierwotnych regionach działania, ale także dla firm na całym świecie.
Ekspansja do Europy i Republiki Południowej Afryki
Niedawna aktywność TA4922 wskazuje na znaczącą ekspansję geograficzną.
Grupa atakowała organizacje w:
- Wielkiej Brytanii
- Niemczech
- Włoszech
- Republice Południowej Afryki
- Japonii
- Azji Południowo-Wschodniej
Ta zmiana ma znaczenie, ponieważ pokazuje, że grupa nie ogranicza się do stałego regionu ani sektora. Gdy aktorzy zagrożeń dopracują działający model phishingu i dostarczania malware'u, mogą szybko dostosować go do nowych krajów, języków i tematów biznesowych.
Proofpoint zauważył, że TA4922 prowadzi więcej unikalnych kampanii niż jakikolwiek inny śledzony przez firmę aktor zagrożeń, co podkreśla zdolność grupy do szybkiej zmiany przynęt, ładunków i celów.
Przynęty phishingowe: HR, podatki, faktury i zgodność z przepisami
TA4922 wykorzystuje kampanie phishingowe o tematyce biznesowej, aby nakłonić ofiary do interakcji ze złośliwą zawartością.
Ostatnie tematy obejmują:
- komunikację działów kadr (HR)
- wiadomości korporacyjne
- zawiadomienia organów podatkowych
- e-maile dotyczące faktur
- powiadomienia o świadczeniach pracowniczych
- aktualizacje dotyczące zgodności z przepisami
- prośby związane z procesami biznesowymi
Te tematy są skuteczne, ponieważ odpowiadają normalnej aktywności w miejscu pracy. Pracownicy są przyzwyczajeni do otrzymywania wiadomości z działu HR, dokumentów podatkowych, faktur, próśb o zachowanie zgodności i wewnętrznej komunikacji biznesowej.
Celem jest, by wiadomość phishingowa wyglądała na rutynową na tyle, aby ofiara otworzyła załącznik, wykonała instrukcje lub kontynuowała rozmowę innym kanałem.
Przenoszenie rozmów poza e-mail
Jedną z charakterystycznych taktyk TA4922 jest próba przeniesienia rozmów z firmowej poczty e-mail do kanałów pozapasmowych, takich jak:
- LINE
- Microsoft Teams
Ma to znaczenie, ponieważ zabezpieczenia poczty e-mail w przedsiębiorstwach są zwykle silniejsze niż zabezpieczenia osobistych komunikatorów lub nieformalnych kanałów współpracy.
Przenosząc rozmowę poza e-mail, atakujący mogą ominąć:
- bramy bezpieczeństwa poczty e-mail
- wykrywanie phishingu
- skanowanie załączników
- przepisywanie linków
- rejestrowanie zdarzeń skrzynki pocztowej
- zautomatyzowane przepływy zgłaszania
- banery uświadamiające w zakresie bezpieczeństwa
Gdy rozmowa przeniesie się do komunikatora, atakujący może budować zaufanie, dostarczać złośliwe pliki, prosić o dane uwierzytelniające lub prowadzić ofiarę przez scenariusz oszustwa, a nad całością czuwa mniej firmowych mechanizmów kontroli.
Taką taktykę należy traktować jako sygnał ostrzegawczy.
Arsenał malware'u: Atlas RAT, RomulusLoader i SilentRunLoader
Kampanie TA4922 wykorzystują wiele rodzin złośliwego oprogramowania i loaderów.
- Atlas RAT, znany również jako AtlasCross RAT, służy do nawiązywania zdalnego dostępu do skompromitowanych systemów. Był dostarczany w kampaniach phishingowych z wykorzystaniem DLL side-loadingu. Trojan zdalnego dostępu może umożliwiać atakującym kontrolowanie systemów, wykonywanie poleceń, zbieranie informacji i wdrażanie dodatkowych ładunków.
- RomulusLoader to loader napisany w języku C, zaobserwowany w kampaniach o tematyce korporacyjnej i HR. Loader jest dostarczany przez DLL side-loading i może służyć do wdrażania dodatkowych narzędzi. W niektórych kampaniach został użyty do zainstalowania AnyDesk i SyncFuture, dając atakującym zdalny dostęp i dalszą kontrolę.
- SilentRunLoader to loader i stealer napisany w Pythonie, opisany jako „vibe-coded”, co sugeruje, że mógł być opracowany lub wspierany za pomocą narzędzi AI do programowania.
Był używany w kampaniach wymierzonych w Wielką Brytanię i Azję Południowo-Wschodnią. SilentRunLoader potrafi zrzucać dodatkowe pliki wykonywalne zaprojektowane do zbierania wrażliwych danych z Google Chrome, w tym:
- przechowywanych poświadczeń
- plików cookie
- informacji o przeglądaniu
Tego rodzaju kradzież danych z przeglądarki może wspierać przejęcia kont, przechwytywanie sesji, oszustwa i dalsze włamania.
DLL side-loading jako powszechna technika dostarczania
Kilka kampanii TA4922 opiera się na DLL side-loadingu.
DLL side-loading to technika, w której atakujący umieszczają złośliwą bibliotekę DLL obok legalnego pliku wykonywalnego. Gdy legalny program się uruchamia, ładuje bibliotekę DLL atakującego zamiast oczekiwanego, bezpiecznego komponentu.
Technika ta jest popularna, ponieważ pozwala nadużywać zaufanych aplikacji i sprawia, że złośliwe wykonanie kodu wygląda na bardziej uprawnione.
Może pomóc atakującym:
- ominąć podstawowe kontrole bezpieczeństwa
- ukryć się za podpisanymi plikami wykonywalnymi
- wtopić się w normalną aktywność procesów
- uniknąć oczywistych wzorców wykonywania malware'u
- uruchamiać ładunki w bardziej skryty sposób
Organizacje powinny monitorować nietypowe zachowania związane z ładowaniem bibliotek DLL, zwłaszcza gdy pliki są uruchamiane z folderów tymczasowych, ścieżek profili użytkowników, katalogów rozpakowywania archiwów lub nieoczekiwanych lokalizacji.
Oś czasu kampanii
Proofpoint zaobserwował kilka kampanii TA4922 w marcu i kwietniu 2026 r.
Przykłady obejmują:
- 6 marca: przynęty o tematyce HR wymierzone w japońskie organizacje, dostarczające Atlas RAT przez DLL side-loading.
- 23 marca: przynęty o tematyce korporacyjnej i HR wymierzone w japońskie organizacje, dostarczające RomulusLoader.
- 30 marca: przynęty podszywające się pod organy podatkowe, wymierzone w organizacje w Wielkiej Brytanii, dostarczające SilentRunLoader i kradnące dane z Chrome.
- 2 kwietnia: przynęty w postaci komunikacji HR wymierzone w organizacje w Wielkiej Brytanii i Niemczech, dostarczające Atlas RAT.
- 7 kwietnia: przynęty o tematyce faktur wymierzone w japońskie organizacje, dostarczające Atlas RAT.
- 10 kwietnia: przynęty o tematyce świadczeń i zgodności z przepisami wymierzone w Azję Południowo-Wschodnią i Wielką Brytanię, dostarczające SilentRunLoader.
- Połowa kwietnia: przynęty o tematyce biznesowej i podatkowej wymierzone w Japonię i Niemcy, dostarczające RomulusLoader, który następnie wdrażał AnyDesk i SyncFuture.
Takie tempo pokazuje, że TA4922 potrafi szybko zmieniać tematy i ładunki w różnych regionach.
Motywacja finansowa z potencjałem szpiegowskim
Proofpoint ocenia TA4922 jako grupę działającą z motywacji finansowych.
Możliwości jej malware'u tworzą jednak również potencjał inwigilacji.
Narzędzia zdalnego dostępu, kradzież danych z przeglądarki, zbieranie poświadczeń i trwały dostęp mogą wspierać oszustwa i odsprzedaż dostępu. Te same możliwości mogłyby jednak być przydatne także grupom szpiegowskim.
Powstaje w ten sposób zatarty model zagrożenia.
Grupa motywowana finansowo może kraść dane z zamiarem ich odsprzedaży. Inny aktor może później kupić dostęp i wykorzystać go do szpiegostwa. Albo ta sama infrastruktura może zostać przekształcona do zbierania informacji wywiadowczych o wyższej wartości.
Organizacje nie powinny zakładać, że „motywacja finansowa” oznacza niski wpływ.
Dlaczego kradzież danych z Chrome jest niebezpieczna
Kilka kampanii TA4922 koncentrowało się na kradzieży danych z Google Chrome.
Dane z przeglądarki mogą być niezwykle cenne, ponieważ mogą zawierać:
- zapisane hasła
- pliki cookie sesji
- historię przeglądania
- dane autouzupełniania
- tokeny uwierzytelniania
- dostęp do aplikacji SaaS
- sesje w wewnętrznych portalach internetowych
Kradzież plików cookie może czasem pozwolić atakującym ominąć normalny proces logowania i ponownie wykorzystać aktywną sesję.
Może to być szczególnie niebezpieczne, jeśli ofiara ma dostęp do systemów biznesowych, portali finansowych, platform CRM, konsol chmurowych, systemów HR lub narzędzi administracyjnych.
Zalecenia obronne
Organizacje powinny traktować aktywność w stylu TA4922 jako poważne zagrożenie phishingowe i malware'owe.
Zalecane działania obejmują:
- szkolenie użytkowników w zakresie ostrożności wobec wiadomości o tematyce HR, podatków, faktur, świadczeń i zgodności z przepisami
- badanie prób przeniesienia rozmów z e-maila do WhatsApp, LINE lub osobistych komunikatorów
- blokowanie lub monitorowanie nietypowego udostępniania plików kanałami pozapasmowymi
- wykrywanie DLL side-loadingu z katalogów zapisywalnych przez użytkownika
- monitorowanie nieoczekiwanej instalacji AnyDesk lub innych narzędzi zdalnego dostępu
- alertowanie o podejrzanym dostępie do poświadczeń lub plików cookie Chrome
- kontrolowanie loaderów napisanych w Pythonie i nietypowego wykonywania skryptów
- monitorowanie nieoczekiwanego rozpakowywania archiwów, po którym następuje uruchomienie pliku wykonywalnego
- ograniczenie uruchamiania plików z folderów tymczasowych i katalogów Pobrane
- wymuszanie uwierzytelniania wieloskładnikowego dla aplikacji biznesowych
- stosowanie reguł wykrywania na punktach końcowych dla zachowań typowych dla RAT
- monitorowanie nietypowych połączeń wychodzących z nowo uruchomionych plików binarnych
Zespoły bezpieczeństwa powinny też korelować aktywność poczty e-mail z alertami z punktów końcowych i zachowaniem platform komunikacyjnych tam, gdzie dostępna jest widoczność.
Na co zwracać uwagę
Potencjalne sygnały ostrzegawcze obejmują:
- e-maile o tematyce HR lub podatkowej od nieznanych nadawców
- wiadomości z prośbą o kontynuowanie rozmowy w WhatsApp, LINE lub Teams
- nieoczekiwane załączniki dotyczące świadczeń, zgodności z przepisami, faktur lub dokumentów podatkowych
- legalne pliki wykonywalne ładujące nieznane biblioteki DLL
- nowe instalacje AnyDesk
- nieznane skrypty Pythona uruchomione na punktach końcowych użytkowników
- podejrzany dostęp do magazynów poświadczeń przeglądarki
- nietypowy dostęp do plików cookie Chrome
- narzędzia zdalnego dostępu pojawiające się po interakcji z phishingiem
- ruch wychodzący do nieznanej infrastruktury
Każde połączenie phishingu, kradzieży danych z przeglądarki i narzędzi zdalnego dostępu należy traktować jako potencjalne włamanie.
Podsumowanie
Niedawne kampanie TA4922 pokazują szybko działającą operację cyberprzestępczą, która wychodzi poza swój pierwotny obszar zainteresowania.
Grupa wykorzystuje przekonujące przynęty biznesowe, taktyki komunikacji pozapasmowej, DLL side-loading, narzędzia zdalnego dostępu i ewoluujące loadery, takie jak RomulusLoader i SilentRunLoader, aby kompromitować organizacje w wielu regionach.
Choć grupa wydaje się działać z motywacji finansowych, możliwości jej malware'u mogłyby wspierać szerszą inwigilację, kradzież danych i odsprzedaż dostępu.
Monitoruj phishing o tematyce biznesowej, zwracaj uwagę na próby przenoszenia rozmów poza e-mail, wykrywaj DLL side-loading i traktuj procesy komunikacji deweloperskiej, HR, finansowej i biznesowej jako powierzchnie ataku o wysokim ryzyku.
TA4922 przypomina, że grupy cyberprzestępcze potrafią szybko ewoluować — a wraz z nimi musi ewoluować widoczność po stronie obrony.
