מתקפת פישינג TA416

מאז אמצע 2025, גורם איום המזוהה עם סין צץ מחדש עם התמקדות חזקה בממשלות ובגופים דיפלומטיים אירופאיים, לאחר כמעט שנתיים של פעילות מופחתת באזור. קמפיין זה יוחס ל-TA416, אשכול איומים המקושר גם ל-DarkPeony, RedDelta, Red Lich, SmugX, UNC6384 ו-Vertigo Panda.

המבצעים כוונו בעיקר נגד משלחות דיפלומטיות הקשורות לאיחוד האירופי ולנאט"ו במספר מדינות. קמפיינים אלה מורכבים מגלים מתואמים הכוללים מעקב אחר באגים ברשת והעברת תוכנות זדוניות, דבר המצביע על מאמץ איסוף מודיעין מובנה ומתמשך.

הרחבת היקף מונע על ידי מתחים גיאופוליטיים

TA416 הרחיבה את טווח הפעולה המבצעי שלה מעבר לאירופה, ופתחה בקמפיינים נגד ארגונים ממשלתיים ודיפלומטיים במזרח התיכון בעקבות הסלמת הסכסוך בין ארה"ב לישראל ולאיראן בפברואר 2026.

הרחבה זו משקפת מאמץ אסטרטגי לאיסוף מודיעין אזורי רגיש, ומדגישה כיצד סדרי העדיפויות של הקבוצה תואמים קשר הדוק להתפתחויות גיאופוליטיות מתפתחות.

מערכות אקולוגיות חופפות של איומים וטכניקות משותפות

ל-TA416 חפיפות טכניות בולטות עם אשכול איומים מתקדם נוסף המכונה בדרך כלל Mustang Panda, המכונה גם CerenaKeeper, Red Ishtar ו-UNK_SteadySplit. שתי הקבוצות עוקבות יחד תחת סיווגים רחבים יותר כגון Earth Preta, Hive0154, HoneyMyte, Stately Taurus, Temp.HEX ו-Twill Typhoon.

בעוד ש-TA416 מקושר בעיקר לגרסאות מותאמות אישית של תוכנות זדוניות PlugX, Mustang Panda פורסת לעתים קרובות כלים כמו TONESHELL, PUBLOAD ו-COOLCLIENT. למרות הבדלים אלה, שתי הקבוצות מסתמכות במידה רבה על טעינת DLL צדדית כטכניקת ביצוע מרכזית, מה שמדגים מתודולוגיות תפעוליות משותפות.

שרשראות זיהום אדפטיביות וטכניקות העברה

TA416 הפגינה רמה גבוהה של גמישות על ידי פיתוח מתמיד של שרשראות ההדבקה שלה. טכניקות שנצפו בקמפיינים שונים כוללות ניצול לרעה של דפי אימות של Cloudflare Turnstile, ניצול מנגנוני ניתוב מחדש של OAuth ושימוש בקבצי פרויקטים זדוניים ב-C#.

הקבוצה מפיצה תוכנות זדוניות באמצעות הודעות דיוג הנשלחות מחשבונות דואר חינם. הודעות אלו כוללות לעתים קרובות קישורים לארכיונים זדוניים המתארחים בפלטפורמות כגון Microsoft Azure Blob Storage, Google Drive, דומיינים הנשלטים על ידי תוקפים או סביבות SharePoint שנפגעו.

טכניקת סיור מרכזית כרוכה בשימוש בבאגים, רכיבי מעקב קטנים ובלתי נראים המוטמעים בהודעות דוא"ל. כאשר הם נפתחים, הם מפעילים בקשות HTTP שחושפות מטא-נתונים של הנמענים כגון כתובת IP, סוכן משתמש וזמן גישה, מה שמאפשר לתוקפים לאשר מעורבות ולשפר את המיקוד.

שימוש לרעה ב-OAuth והעברת תוכנות זדוניות בענן

בסוף שנת 2025, קמפיינים של TA416 ניצלו נקודות קצה לגיטימיות של Microsoft OAuth. קורבנות שלחצו על קישורי פישינג הופנו דרך זרימות אימות מהימנות לפני שהועברו בשקט לתשתית הנשלטת על ידי התוקף המארחת מטענים זדוניים.

בתחילת 2026, הקבוצה שיכללה עוד יותר את גישתה על ידי הפצת ארכיונים דרך Google Drive ומופעי SharePoint שנפגעו. ארכיונים אלה הכילו קבצי הרצה לגיטימיים של Microsoft MSBuild לצד קבצי פרויקטים זדוניים ב-C#, ויצרו נתיב ביצוע מטעה אך יעיל.

ניצול MSBuild ופריסה רב-שלבית של מטען

כלי השירות MSBuild ממלא תפקיד קריטי בשרשרת ההדבקה של TA416. כאשר הוא מופעל, הוא מאתר ומקמפל אוטומטית קבצי פרויקט בתוך ספריית העבודה. בהתקפות אלו, קבצי CSPROJ זדוניים משמשים כמורידים המפענחים כתובות URL מקודדות Base64 ומאחזרים רכיבי מטען נוספים.

התהליך כרוך בהורדת חבילת DLL בטעינה צדדית, אחסונה בספרייה זמנית והפעלת קובץ בינארי לגיטימי שטוען את תוכנת הזדונית של PlugX. גישה רב-שלבית זו משפרת את החמקנות ומסבכת את הזיהוי.

יכולות ועמידות של דלת אחורית של PlugX

PlugX נותר מרכיב מרכזי בפעילותה של TA416, ונפרס באופן עקבי בקמפיינים שונים למרות שינויים במנגנוני האספקה. הנוזקה יוצרת תקשורת מוצפנת עם תשתית פיקוד ובקרה ומבצעת בדיקות אנטי-אנליזה לפני ביצועה כדי להתחמק מגילוי.

הפונקציונליות שלו מאפשרת שליטה נרחבת במערכת וחילוץ נתונים. יכולות הליבה כוללות:

• איסוף מידע מפורט על המערכת
• הסרת עצמה כדי להתחמק מניתוח פורנזי
• שינוי מרווחי תקשורת עם שרתי פקודות
• הורדה וביצוע של מטענים נוספים
• יצירת גישת מעטפת הפוכה עבור שליטה מרחוק

אבולוציה מתמשכת ומיקוד אסטרטגי

חזרתה של TA416 למטרות אירופיות לאחר התמקדות בדרום מזרח אסיה ומונגוליה מאותתת על דגש מחודש על איסוף מודיעין הקשור לאיחוד האירופי ולנאט"ו. במקביל, ההתרחבות לפעילות במזרח התיכון מדגישה את תגובת הקבוצה לסכסוכים עולמיים.

נכונותו של גורם האיום לנסח מחדש טכניקות, החל מדפי אימות מזויפים ועד ניצול לרעה של OAuth וביצוע מבוסס MSBuild, מדגימה מחויבות מתמשכת להתחמקות ויעילות תפעולית. השיפור המתמשך של תוכנות הזדוניות PlugX שלו מדגיש עוד יותר את תפקידו כאיום ריגול סייבר מתוחכם ואדפטיבי.