TA4922 – Kínai kiberbűnözői csoport globális terjeszkedése

Ki ez a csoport?

A Proofpoint elemzése szerint a TA4922 valószínűleg Kelet-Ázsiában tevékenykedik és kínai anyanyelvű. Pénzügyileg motivált csoport, amelynek célja az áldozatok rendszereibe való bejutás adatlopás, csalás, hozzáférés-értékesítés vagy tartós jelenlét fenntartása érdekében.

Rekordszintű aktivitás

A Proofpoint szerint a TA4922 jelenleg több egyedi kampányt folytat, mint bármely más, általuk nyomon követett kiberbűnözői szereplő – ez kiemelkedő operatív tempóra, sokféle csalira és több célkitűzésre utal.

Globális terjeszkedés

A csoport, amely korábban főként Japánra és Kelet-Ázsiára fókuszált, mostanra kiterjesztette tevékenységét az Egyesült Királyságra, Németországra, Olaszországra és Dél-Afrikára is.

A legutóbbi kampányok idővonala:

• Március 6.: HR-témájú csalikat használtak japán szervezetek ellen, az Atlas RAT terjesztéséhez.
• Március 23.: Vállalati és HR-témájú levelekkel japán szervezeteket céloztak meg a RomulusLoader nevű kártevővel.
• Március 30.: Adóhatóságot megszemélyesítő levelekkel brit szervezeteket támadtak a SilentRunLoader segítségével, amely a Google Chrome-ból lopja el a tárolt jelszavakat, sütiket és böngészési adatokat.
• Április közepén: Adó- és üzleti témájú kampányok japán és német szervezetek ellen, a RomulusLoader az AnyDesk és SyncFuture szoftvereket telepítette.

Új kártevők és eszközök

A csoport eszköztára jelentősen bővült. Az Atlas RAT egy teljes funkcionalitású, többlépéses távoli hozzáférési trójai, amely képes felderítésre, fájlok kiszűrésére, billentyűleütések naplózására, képernyő- és hangfelvételre. A RomulusLoader egy C nyelven írt egyedi betöltő, amely DLL-helyettesítéssel juttatja be a kártékony kódot.

Szociális tervezési módszerek

A csoport megbízható hatóságokat vagy belső kapcsolattartókat megszemélyesítve arra ösztönzi az áldozatokat, hogy az e-mailes kommunikációt vigyék át olyan platformokra, mint a LINE, WhatsApp vagy Microsoft Teams – ezáltal kikerülve a hagyományos e-mail biztonsági szűrőket.

A levelek mindig az áldozat nyelvén és kontextusában íródnak – például brit kampányokban az HMRC-t (brit adóhivatal) utánozzák, Németországban müncheni adóhivatalnokok nevében küldenek üzeneteket.

Kémkedési kockázat

A kutatók figyelmeztetnek, hogy bár a TA4922 elsősorban anyagi haszonszerzésre törekszik, képességei mélyreható hálózati megfigyelést tesznek lehetővé, és a megszerzett hozzáférések közvetlenül kémcsoportoknak is eladhatók.

A TA4922 az egyik legaktívabb és legsokoldalúbb kiberbűnözői csoport jelenleg, amely gyorsan terjeszkedik Európa és Afrika felé, miközben folyamatosan fejleszti kártevő-arzenálját.