TA416 Phishing-angrep
Siden midten av 2025 har en trusselaktør tilknyttet Kina dukket opp igjen med et sterkt fokus på europeiske myndigheter og diplomatiske enheter, etter nesten to år med redusert aktivitet i regionen. Denne kampanjen har blitt tilskrevet TA416, en trusselklynge som også er assosiert med DarkPeony, RedDelta, Red Lich, SmugX, UNC6384 og Vertigo Panda.
Operasjonene har primært vært rettet mot diplomatiske oppdrag tilknyttet EU og NATO i flere land. Disse kampanjene består av koordinerte bølger som involverer sporing av nettfeil og levering av skadelig programvare, noe som indikerer en strukturert og vedvarende etterretningsinnsamling.
Innholdsfortegnelse
Utvidet omfang drevet av geopolitiske spenninger
TA416 har utvidet sin operative rekkevidde utenfor Europa, og har lansert kampanjer mot myndigheter og diplomatiske organisasjoner i Midtøsten etter eskaleringen av konflikten mellom USA, Israel og Iran i februar 2026.
Denne utvidelsen gjenspeiler en strategisk innsats for å samle inn sensitiv regional etterretning, og fremhever hvordan gruppens prioriteringer er tett knyttet til den geopolitiske utviklingen.
Overlappende trusseløkosystemer og delte teknikker
TA416 deler bemerkelsesverdige tekniske overlapp med en annen avansert trusselklynge kjent som Mustang Panda, også referert til som CerenaKeeper, Red Ishtar og UNK_SteadySplit. Begge gruppene spores samlet under bredere klassifiseringer som Earth Preta, Hive0154, HoneyMyte, Stately Taurus, Temp.HEX og Twill Typhoon.
Selv om TA416 primært er assosiert med tilpassede varianter av PlugX-skadevare, bruker Mustang Panda ofte verktøy som TONESHELL, PUBLOAD og COOLCLIENT. Til tross for disse forskjellene er begge gruppene sterkt avhengige av DLL-sidelasting som en kjerneutførelsesteknikk, noe som demonstrerer delte operasjonelle metoder.
Adaptive infeksjonskjeder og leveringsteknikker
TA416 har vist en høy grad av fleksibilitet ved kontinuerlig å utvikle infeksjonskjedene sine. Teknikker observert på tvers av kampanjer inkluderer misbruk av Cloudflare Turnstile-verifiseringssider, utnyttelse av OAuth-omdirigeringsmekanismer og bruk av ondsinnede C#-prosjektfiler.
Gruppen distribuerer skadelig programvare gjennom phishing-e-poster sendt fra gratis e-postkontoer. Disse meldingene inneholder ofte lenker til skadelige arkiver som ligger på plattformer som Microsoft Azure Blob Storage, Google Drive, angriperkontrollerte domener eller kompromitterte SharePoint-miljøer.
En viktig rekognoseringsteknikk involverer bruk av web bugs, små usynlige sporingselementer innebygd i e-poster. Når disse åpnes, utløser de HTTP-forespørsler som eksponerer mottakermetadata som IP-adresse, brukeragent og tilgangstid, slik at angripere kan bekrefte engasjement og forbedre målretting.
OAuth-misbruk og levering av skybasert skadelig programvare
Sent i 2025 utnyttet TA416-kampanjer legitime Microsoft OAuth-autorisasjonsendepunkter. Ofre som klikket på phishing-lenker ble omdirigert gjennom pålitelige autentiseringsflyter før de stille ble videresendt til angriperkontrollert infrastruktur som var vert for skadelige nyttelaster.
Tidlig i 2026 hadde gruppen ytterligere forbedret tilnærmingen sin ved å distribuere arkiver via Google Drive og kompromitterte SharePoint-forekomster. Disse arkivene inneholdt legitime Microsoft MSBuild-kjørbare filer sammen med skadelige C#-prosjektfiler, noe som skapte en villedende, men effektiv utførelsesvei.
MSBuild-utnyttelse og flertrinns nyttelastdistribusjon
MSBuild-verktøyet spiller en kritisk rolle i TA416s infeksjonskjede. Når det kjøres, finner og kompilerer det automatisk prosjektfiler i arbeidskatalogen. I disse angrepene fungerer skadelige CSPROJ-filer som nedlastere som dekoder Base64-kodede URL-er og henter ytterligere nyttelastkomponenter.
Prosessen innebærer å laste ned en DLL-pakke for sideinnlasting, lagre den i en midlertidig katalog og kjøre en legitim binærfil som laster inn PlugX-skadevaren. Denne flertrinnstilnærmingen forbedrer stealth og kompliserer deteksjon.
PlugX bakdørfunksjoner og utholdenhet
PlugX er fortsatt en sentral del av TA416s drift, og distribueres konsekvent på tvers av kampanjer til tross for variasjoner i leveringsmekanismer. Skadevaren etablerer kryptert kommunikasjon med kommando-og-kontroll-infrastrukturen og utfører antianalysekontroller før utførelse for å unngå deteksjon.
Funksjonaliteten muliggjør omfattende systemkontroll og datautvinning. Kjernefunksjoner inkluderer:
- Samle detaljert systeminformasjon
- Fjerner seg selv for å unngå rettsmedisinsk analyse
- Endre kommunikasjonsintervaller med kommandoservere
- Laste ned og kjøre ytterligere nyttelaster
- Etablering av omvendt skalltilgang for fjernkontroll
Kontinuerlig utvikling og strategisk målretting
TA416s tilbakekomst til europeiske mål etter å ha fokusert på Sørøst-Asia og Mongolia signaliserer et fornyet fokus på innsamling av etterretning relatert til EU og NATO. Samtidig understreker ekspansjonen til operasjoner i Midtøsten gruppens respons på globale konflikter.
Trusselaktørens villighet til å eksperimentere med teknikker, alt fra falske verifiseringssider til OAuth-misbruk og MSBuild-basert utførelse, viser en vedvarende forpliktelse til unnvikelse og operativ effektivitet. Den kontinuerlige forbedringen av PlugX-skadevaren understreker ytterligere dens rolle som en sofistikert, adaptiv cyberspionasjetrussel.
