El TA4922 de China expande los ataques de cibercrimen a todo el mundo

Una operación de cibercrimen china se ha expandido significativamente, apuntando a muchos más países que cualquier otro grupo de amenaza activo con una variedad aún mayor de tácticas, técnicas y procedimientos (TTP).

TA4922 apareció por primera vez en el radar de Proofpoint en la primavera de 2025. En el primer año de funcionamiento observado, fue más centrado y sencillo. apuntó Organizaciones japonesas con correos electrónicos de phishing sobre impuestos o haciéndose pasar por empleados reales. En ocasiones, intentó engañar a las víctimas para que se comunicaran fuera de sus correos electrónicos laborales habituales y utilizó ValleyRAT para obtener acceso remoto a sus sistemas.

Sin embargo, en los últimos dos meses, el ritmo de las operaciones ha aumentado drásticamente. Ahora apunta a una amplia gama de países, utilizando una gama mucho más amplia de tácticas y técnicas que la típica de los actores de amenazas. en uno Publicación de blog Esta semana, Proofpoint calificó a TA4922 como “uno de los actores más singulares” que está persiguiendo.

Relacionado:China utiliza un ciberataque de doble método contra organizaciones checas

Campañas globales de phishing de TA4922

Aunque gran parte de su actividad todavía se centra en Japón, TA4922 también tiene la vista puesta en numerosas organizaciones del este de Asia (Taiwán, Corea del Sur, Singapur, Malasia, Indonesia) y Europa, incluidos el Reino Unido, Alemania e Italia. Gracias al carácter indiscriminado del grupo, Sudáfrica también está involucrada en el conflicto.

Esta lista puede parecer dispersa, pero TA4922 es diligente en todo el mundo y siempre escribe correos electrónicos de cebo en idiomas y dialectos que se ajustan a las normas locales. Estos correos electrónicos suelen hacerse pasar por instituciones comerciales y financieras (departamentos del tesoro, autoridades fiscales, etc.). Recursos humanos Equipos (o colegas cercanos de los objetivos) con señuelos clásicos orientados a las finanzas, como los impuestos y la facturación.

«TA4922 utiliza miles de direcciones de remitentes únicas y desechables en sus campañas, a menudo a través de Outlook, Hotmail o Gmail. Las direcciones siguen un patrón que sugiere la generación de cuentas estructuradas en estas plataformas, lo que resulta en una entrega exitosa al evitar el bloqueo de reputación», señalan los investigadores de Proofpoint.

A menudo, TA4922 utiliza el correo electrónico solo para presentaciones y anima a las víctimas a comunicarse en plataformas menos supervisadas, como Microsoft Teams o WhatsApp.

Lo que sucede después del primer contacto puede variar.

Diversas cadenas de ataque

A veces, TA4922 envía enlaces maliciosos a malware alojado en servicios de intercambio de archivos y, a veces, adjunta archivos comprimidos. A veces, el malware se empaqueta como un simple archivo ejecutable, otras veces la cadena de ataque se basa en la descarga de una biblioteca de vínculos dinámicos (DLL) para inyectar el contenido malicioso. A veces no hay ningún malware y las víctimas son redirigidas a páginas de phishing de credenciales.

Relacionado:Parchear ahora: otra falla de omisión de autenticación de Palo Alto bajo explotación activa

Nadie puede adivinar si se trata de malware. TA4922 puede utilizar un troyano de acceso remoto (RAT) como ValleyRAT o Atlas RAT para acceder a los sistemas de destino o al software legítimo de gestión y supervisión remota (RMM) cualquier escritorio. En el último caso, se utiliza un cargador llamado RomulusLoader para enviar el RMM al sistema host. Pero también utiliza un cargador llamado SilentRunLoader, y el propio SilentRunLoader también funciona como un ladrón de Google Chrome.

Los investigadores de Proofpoint señalan que con las diversas herramientas de TA4922, «la entrega de cargas útiles de TA4922 a menudo no es evidente de inmediato en el momento del descubrimiento inicial. Sus cargas útiles maliciosas a menudo requieren un análisis adicional por parte de nuestros analistas de malware para confirmar sus familias de malware, como Atlas RAT y otras variantes en el ecosistema más amplio de ValleyRAT.

TA4922, Silver Fox cruza la meta

Sigue habiendo cierta ambigüedad en torno a TA4922, tanto en términos de sus tácticas como de su identidad.

Atlas RAT fue descrito por primera vez por investigadores de Hexastrike en marzo cuando TA4922 aumentó sus actividades maliciosas. Sin embargo, se atribuyó a Silver Fox, un actor de amenazas vinculado al estado chino, que es lo que sugieren los investigadores de amenazas. cruza la línea entre el espionaje y el cibercrimen. Que un actor posiblemente aliado con el Partido Comunista Chino (PCC) recurra al crimen por motivos financieros ya era bastante confuso para empezar; Ahora, los investigadores de Proofpoint han destacado numerosas superposiciones entre Silver Fox y TA4922, no sólo en términos del malware que utilizan, sino también en su infraestructura y técnicas de ingeniería social. Todo esto ha generado algunas dificultades a la hora de distinguir estos grupos de actividades.

Relacionado:Los ciberataques de “The Com” apoyan la violencia y la explotación sexual

Entonces surge la pregunta de por qué exactamente TA4922 funciona de esta manera. Es de suponer que existe cierta lógica en cuanto a los tipos de ataques, señuelos y combinaciones específicas de malware que se utilizan contra una víctima en particular. Los investigadores de Proofpoint admiten que «no hemos identificado un patrón que prediga o proporcione una indicación de qué familia de malware utilizará el actor en una campaña determinada».

«TA4922 muestra que el modelo multiuso puede ser eficaz cuando se tiene un único objetivo en mente», concluye el equipo de investigación.[It] les permite adaptarse a las defensas organizacionales, haciéndolos más resistentes que los grupos que operan con una única especialización”.