Atacul de tip phishing TA416

De la mijlocul anului 2025, un actor amenințător aliniat cu China a reapărut, concentrându-se puternic pe guvernele europene și entitățile diplomatice, după aproape doi ani de activitate redusă în regiune. Această campanie a fost atribuită TA416, un grup de amenințări asociat și cu DarkPeony, RedDelta, Red Lich, SmugX, UNC6384 și Vertigo Panda.

Operațiunile au vizat în principal misiuni diplomatice conectate la Uniunea Europeană și NATO în mai multe țări. Aceste campanii constau în valuri coordonate care implică urmărirea erorilor web și distribuirea de programe malware, indicând un efort structurat și persistent de colectare de informații.

Extinderea domeniului de aplicare determinată de tensiunile geopolitice

TA416 și-a extins aria de acoperire operațională dincolo de Europa, lansând campanii împotriva organizațiilor guvernamentale și diplomatice din Orientul Mijlociu în urma escaladării conflictului SUA-Israel-Iran în februarie 2026.

Această extindere reflectă un efort strategic de a colecta informații regionale sensibile, evidențiind modul în care prioritățile de vizare ale grupului sunt strâns aliniate cu evoluțiile geopolitice.

Ecosisteme de amenințări suprapuse și tehnici comune

TA416 are suprapuneri tehnice notabile cu un alt grup de amenințări avansate, cunoscut sub numele de Mustang Panda, denumit și CerenaKeeper, Red Ishtar și UNK_SteadySplit. Ambele grupuri sunt urmărite colectiv în cadrul unor clasificări mai largi, cum ar fi Earth Preta, Hive0154, HoneyMyte, Stately Taurus, Temp.HEX și Twill Typhoon.

Deși TA416 este asociat în principal cu variante personalizate de malware PlugX, Mustang Panda implementează frecvent instrumente precum TONESHELL, PUBLOAD și COOLCLIENT. În ciuda acestor diferențe, ambele grupuri se bazează în mare măsură pe încărcarea laterală a DLL-urilor ca tehnică de execuție principală, demonstrând metodologii operaționale comune.

Lanțuri de infecție adaptive și tehnici de livrare

TA416 a demonstrat un grad ridicat de flexibilitate prin evoluția continuă a lanțurilor sale de infectare. Tehnicile observate în cadrul campaniilor includ abuzul paginilor de verificare Cloudflare Turnstile, exploatarea mecanismelor de redirecționare OAuth și utilizarea fișierelor de proiect C# rău intenționate.

Grupul distribuie programe malware prin e-mailuri de phishing trimise din conturi gratuite de e-mail. Aceste mesaje includ adesea linkuri către arhive rău intenționate găzduite pe platforme precum Microsoft Azure Blob Storage, Google Drive, domenii controlate de atacatori sau medii SharePoint compromise.

O tehnică cheie de recunoaștere implică utilizarea de web bug-uri, mici elemente de urmărire invizibile încorporate în e-mailuri. Atunci când sunt deschise, acestea declanșează cereri HTTP care expun metadatele destinatarului, cum ar fi adresa IP, agentul utilizator și ora de acces, permițând atacatorilor să confirme interacțiunea și să rafineze direcționarea.

Abuzul OAuth și distribuirea de programe malware bazate pe cloud

La sfârșitul anului 2025, campaniile TA416 au utilizat puncte finale de autorizare Microsoft OAuth legitime. Victimele care dădeau clic pe linkuri de phishing erau redirecționate prin fluxuri de autentificare de încredere înainte de a fi transmise în mod silențios către o infrastructură controlată de atacatori care găzduia sarcini utile rău intenționate.

Până la începutul anului 2026, grupul și-a rafinat abordarea prin distribuirea de arhive prin Google Drive și instanțe SharePoint compromise. Aceste arhive conțineau executabile Microsoft MSBuild legitime, alături de fișiere de proiect C# rău intenționate, creând o cale de execuție înșelătoare, dar eficientă.

Exploatarea MSBuild și implementarea sarcinii utile în mai multe etape

Utilitarul MSBuild joacă un rol esențial în lanțul de infectare al TA416. Când este executat, acesta localizează și compilează automat fișierele de proiect în directorul de lucru. În aceste atacuri, fișierele CSPROJ rău intenționate acționează ca instrumente de descărcare care decodează adresele URL codificate în Base64 și preiau componente suplimentare ale sarcinii utile.

Procesul implică descărcarea unui pachet DLL cu încărcare laterală, stocarea acestuia într-un director temporar și executarea unui fișier binar legitim care încarcă malware-ul PlugX. Această abordare în mai multe etape îmbunătățește ascunderea și complică detectarea.

Capacități și persistență ale backdoor-ului PlugX

PlugX rămâne o componentă centrală a operațiunilor TA416, implementată constant în cadrul campaniilor, în ciuda variațiilor mecanismelor de livrare. Malware-ul stabilește o comunicare criptată cu infrastructura de comandă și control și efectuează verificări anti-analiză înainte de execuție pentru a evita detectarea.

Funcționalitatea sa permite un control extins al sistemului și exfiltrarea datelor. Capacitățile principale includ:

• Colectarea informațiilor detaliate despre sistem
• Îndepărtarea sa pentru a evita analiza criminalistică
• Modificarea intervalelor de comunicare cu serverele de comenzi
• Descărcarea și executarea sarcinilor utile suplimentare
• Stabilirea accesului invers la shell pentru controlul de la distanță

Evoluție continuă și direcționare strategică

Revenirea TA416 la țintele europene, după ce s-a concentrat pe Asia de Sud-Est și Mongolia, semnalează un accent reînnoit pe colectarea de informații legate de UE și NATO. Simultan, extinderea în operațiunile din Orientul Mijlociu subliniază capacitatea de reacție a grupului la conflictele globale.

Disponibilitatea atacatorului de a itera tehnici, de la pagini de verificare false la abuzul OAuth și execuția bazată pe MSBuild, demonstrează un angajament persistent față de evaziune și eficiență operațională. Rafinarea continuă a malware-ului său PlugX subliniază și mai mult rolul său de amenințare de ciberspionaj sofisticată și adaptivă.