Napad lažnega predstavljanja TA416

Od sredine leta 2025 se je po skoraj dveh letih zmanjšane aktivnosti v regiji ponovno pojavil akter grožnje, povezan s Kitajsko, z močnim poudarkom na evropskih vladnih in diplomatskih subjektih. Ta kampanja je bila pripisana skupini groženj TA416, ki je povezana tudi z DarkPeony, RedDelta, Red Lich, SmugX, UNC6384 in Vertigo Panda.

Operacije so bile usmerjene predvsem na diplomatske misije, povezane z Evropsko unijo in Natom v več državah. Te kampanje so sestavljene iz usklajenih valov, ki vključujejo sledenje spletnim hroščem in distribucijo zlonamerne programske opreme, kar kaže na strukturirano in vztrajno zbiranje obveščevalnih podatkov.

Širjenje obsega zaradi geopolitičnih napetosti

TA416 je razširila svoj operativni doseg izven Evrope in po eskalaciji konflikta med ZDA, Izraelom in Iranom februarja 2026 sprožila kampanje proti vladnim in diplomatskim organizacijam na Bližnjem vzhodu.

Ta širitev odraža strateška prizadevanja za zbiranje občutljivih regionalnih obveščevalnih podatkov in poudarja, kako so prednostne naloge skupine pri ciljanju tesno povezane z razvijajočim se geopolitičnim dogajanjem.

Prekrivajoči se ekosistemi groženj in skupne tehnike

TA416 ima opazna tehnična prekrivanja z drugo napredno gručo groženj, splošno znano kot Mustang Panda, imenovano tudi CerenaKeeper, Red Ishtar in UNK_SteadySplit. Obe skupini sta skupaj razvrščeni v širše klasifikacije, kot so Earth Preta, Hive0154, HoneyMyte, Stately Taurus, Temp.HEX in Twill Typhoon.

Medtem ko je TA416 primarno povezan s prilagojenimi različicami zlonamerne programske opreme PlugX, Mustang Panda pogosto uporablja orodja, kot so TONESHELL, PUBLOAD in COOLCLIENT. Kljub tem razlikam se obe skupini močno zanašata na stransko nalaganje DLL kot osnovno tehniko izvajanja, kar dokazuje skupne operativne metodologije.

Prilagodljive verige okužb in tehnike dostave

TA416 je s stalnim razvojem svojih verig okužb pokazal visoko stopnjo prilagodljivosti. Tehnike, opažene v kampanjah, vključujejo zlorabo strani za preverjanje Cloudflare Turnstile, izkoriščanje mehanizmov preusmeritve OAuth in uporabo zlonamernih datotek projektov C#.

Skupina distribuira zlonamerno programsko opremo prek lažnih e-poštnih sporočil, poslanih iz brezplačnih poštnih računov. Ta sporočila pogosto vsebujejo povezave do zlonamernih arhivov, ki gostujejo na platformah, kot so Microsoft Azure Blob Storage, Google Drive, domene, ki jih nadzorujejo napadalci, ali ogrožena okolja SharePointa.

Ključna tehnika izvidovanja vključuje uporabo spletnih hroščev, majhnih nevidnih sledilnih elementov, vdelanih v e-poštna sporočila. Ko jih odprejo, sprožijo zahteve HTTP, ki razkrijejo metapodatke prejemnika, kot so naslov IP, uporabniški agent in čas dostopa, kar napadalcem omogoča potrditev interakcije in natančnejše ciljanje.

Zloraba OAuth in dostava zlonamerne programske opreme v oblaku

Konec leta 2025 so kampanje TA416 izkoriščale legitimne končne točke za avtorizacijo Microsoft OAuth. Žrtve, ki so kliknile lažne povezave, so bile preusmerjene prek zaupanja vrednih tokov preverjanja pristnosti, preden so bile tiho posredovane v infrastrukturo, ki jo je nadzoroval napadalec in je gostila zlonamerne koristne tovore.

Do začetka leta 2026 je skupina še izpopolnila svoj pristop z distribucijo arhivov prek storitve Google Drive in ogroženimi primerki SharePointa. Ti arhivi so vsebovali legitimne izvedljive datoteke Microsoft MSBuild skupaj z zlonamernimi datotekami projektov C#, kar je ustvarilo zavajajočo, a učinkovito pot izvajanja.

Izkoriščanje MSBuild in večstopenjsko uvajanje koristnega tovora

Pripomoček MSBuild igra ključno vlogo v verigi okužbe TA416. Ko se zažene, samodejno poišče in prevede datoteke projekta v delovnem imeniku. Pri teh napadih zlonamerne datoteke CSPROJ delujejo kot programi za prenos, ki dekodirajo URL-je, kodirane v Base64, in pridobijo dodatne komponente koristnega tovora.

Postopek vključuje prenos paketa za stransko nalaganje DLL, shranjevanje le-tega v začasni imenik in izvajanje legitimne binarne datoteke, ki naloži zlonamerno programsko opremo PlugX. Ta večstopenjski pristop izboljša prikritost in otežuje odkrivanje.

Zmogljivosti in vztrajnost PlugX Backdoor

PlugX ostaja osrednja komponenta delovanja TA416 in se dosledno uporablja v vseh kampanjah kljub razlikam v mehanizmih dostave. Zlonamerna programska oprema vzpostavi šifrirano komunikacijo z infrastrukturo Command-and-Control ter pred izvedbo izvede antianalitična preverjanja, da se izogne odkrivanju.

Njegova funkcionalnost omogoča obsežen nadzor sistema in izbruh podatkov. Ključne zmogljivosti vključujejo:

• Zbiranje podrobnih sistemskih informacij
• Odstrani se, da bi se izognil forenzični analizi
• Spreminjanje komunikacijskih intervalov s komandnimi strežniki
• Prenos in izvajanje dodatnih koristnih tovorov
• Vzpostavitev dostopa do obratne lupine za oddaljeno upravljanje

Nenehna evolucija in strateško ciljanje

Vrnitev TA416 k evropskim ciljem po osredotočanju na jugovzhodno Azijo in Mongolijo kaže na ponovni poudarek na zbiranju obveščevalnih podatkov, povezanih z EU in Natom. Hkrati širitev na operacije na Bližnjem vzhodu poudarja odzivnost skupine na globalne konflikte.

Pripravljenost akterja grožnje, da ponavlja tehnike, od lažnih strani za preverjanje do zlorabe OAuth in izvajanja na podlagi MSBuild, kaže na vztrajno zavezanost izogibanju in operativni učinkovitosti. Nenehno izpopolnjevanje njegove zlonamerne programske opreme PlugX še dodatno poudarja njeno vlogo sofisticirane, prilagodljive grožnje kibernetskega vohunjenja.