Wprowadzenie do problemu / definicja
Grupa TA4922, łączona z chińskojęzycznym ekosystemem cyberprzestępczym, rozszerzyła zasięg swoich operacji phishingowych poza dotychczasowe cele w Azji Wschodniej. Najnowsze kampanie obejmują organizacje w Wielkiej Brytanii, Niemczech, Włoszech oraz Republice Południowej Afryki i wykorzystują zarówno klasyczne przynęty socjotechniczne, jak i złośliwe oprogramowanie zapewniające zdalny dostęp, kradzież danych oraz trwałą obecność w środowisku ofiary.
To kolejny przykład ewolucji współczesnego phishingu, który nie ogranicza się już do prostych wiadomości e-mail z linkiem lub załącznikiem. Atakujący coraz częściej łączą socjotechnikę z wieloetapowym łańcuchem infekcji, obejmującym loadery, trojany zdalnego dostępu i legalne narzędzia administracyjne.
W skrócie
- TA4922 prowadzi intensywne kampanie phishingowe przeciwko organizacjom w Europie i Afryce.
- Grupa wykorzystuje przynęty związane z HR, podatkami, fakturami, benefitami i zgodnością regulacyjną.
- W arsenale operatorów znajdują się m.in. Atlas RAT, RomulusLoader oraz SilentRunLoader.
- Ataki coraz częściej przenoszą komunikację z poczty elektronicznej do komunikatorów i platform współpracy.
- Skutkiem może być kradzież poświadczeń, przejęcie sesji, utrzymanie dostępu i dalsza kompromitacja środowiska.
Kontekst / historia
TA4922 była wcześniej obserwowana głównie w kampaniach wymierzonych w podmioty z Azji Wschodniej, szczególnie w Japonii. Badacze wskazują częściowe podobieństwa tej aktywności do klastra Silver Fox, jednak profil operacyjny grupy odróżnia się naciskiem na cele cyberprzestępcze, takie jak pozyskiwanie dostępu do środowisk firmowych, kradzież danych, oszustwa oraz potencjalna odsprzedaż dostępu innym podmiotom.
Na przełomie marca i kwietnia 2026 roku aktywność TA4922 przyspieszyła i zaczęła obejmować nowe regiony. W kolejnych kampaniach grupa stosowała przynęty związane z rekrutacją, komunikacją HR, rozliczeniami podatkowymi, fakturami oraz compliance. Rozszerzenie geograficzne na organizacje w Europie i Afryce sugeruje, że aktor nie ogranicza się już do jednego obszaru operacyjnego, lecz testuje możliwość szybkiego skalowania kampanii przy zachowaniu elastycznego doboru tematów wiadomości i narzędzi malware.
Analiza techniczna
Z technicznego punktu widzenia kampanie TA4922 łączą phishing ukierunkowany z dostarczaniem loaderów i zdalnych trojanów administracyjnych. W obserwowanych przypadkach stosowano mechanizm DLL side-loading, pozwalający uruchamiać złośliwe biblioteki przy użyciu legalnych lub pozornie wiarygodnych plików wykonywalnych. Taka technika utrudnia wykrycie przez rozwiązania oparte wyłącznie na prostych wskaźnikach plikowych.
W marcu 2026 roku grupa wykorzystywała przynęty związane z HR do dostarczania Atlas RAT, a następnie scenariusze korporacyjne i personalne do dystrybucji RomulusLoader. Pod koniec marca pojawiła się kampania wymierzona w podmioty w Wielkiej Brytanii, która używała motywów podatkowych do uruchamiania SilentRunLoader. Ten komponent, napisany w Pythonie, pełni rolę loadera i stealer’a, a następnie uruchamia dodatkowy moduł służący do pozyskiwania wrażliwych danych z przeglądarki Google Chrome, w tym zapisanych poświadczeń, ciasteczek oraz informacji o przeglądaniu.
W kwietniu odnotowano dalsze kampanie z użyciem Atlas RAT i SilentRunLoader przeciwko organizacjom w Wielkiej Brytanii, Niemczech oraz w innych częściach Azji Południowo-Wschodniej. W połowie miesiąca zaobserwowano również wykorzystanie RomulusLoader do wdrażania legalnych narzędzi zdalnego dostępu i synchronizacji, takich jak AnyDesk i SyncFuture. To istotny element taktyki, ponieważ połączenie malware z legalnym oprogramowaniem administracyjnym zwiększa szanse na utrzymanie dostępu i obniża próg wykrywalności.
Szczególnie istotna jest ewolucja warstwy socjotechnicznej. TA4922 nie ogranicza się do dostarczenia linku lub załącznika e-mailowego. W części kampanii operatorzy starają się przenieść dalszy kontakt na komunikatory i platformy współpracy. Taki model działania pozwala ominąć kontrolę bram pocztowych, systemów sandboxingowych i części mechanizmów DLP skoncentrowanych na poczcie. Jednocześnie zwiększa wiarygodność podszycia, zwłaszcza w scenariuszach rekrutacyjnych lub biznesowych.
Konsekwencje / ryzyko
Dla organizacji ryzyko związane z TA4922 jest wielowarstwowe. Na pierwszym poziomie obejmuje przejęcie kont i kradzież danych uwierzytelniających z przeglądarek oraz sesji zapisanych w ciasteczkach. To może prowadzić do obejścia MFA w wybranych scenariuszach, jeśli atakujący zdobędą aktywne tokeny sesyjne lub dane umożliwiające przejęcie sesji.
Na drugim poziomie zagrożenie dotyczy ustanowienia trwałego dostępu poprzez RAT-y i narzędzia zdalnej administracji. Taki dostęp może zostać wykorzystany do dalszej eksploracji środowiska, ruchu bocznego, wycieku dokumentów, oszustw finansowych lub wdrożenia kolejnych ładunków. W praktyce TA4922 może funkcjonować zarówno jako operator realizujący bezpośrednią monetyzację, jak i dostawca dostępu dla innych grup.
Na trzecim poziomie pojawia się ryzyko wywiadowcze. Chociaż analitycy oceniają grupę jako nastawioną przede wszystkim na zysk, stosowane przez nią narzędzia pozwalają na nadzór nad użytkownikiem i długotrwałe monitorowanie aktywności. Oznacza to, że granica między cyberprzestępczością a wykorzystaniem podobnych zdolności przez podmioty prowadzące operacje szpiegowskie pozostaje płynna.
Rekomendacje
Organizacje powinny rozszerzyć ochronę przed phishingiem poza samą pocztę elektroniczną. Konieczne jest monitorowanie i kontrola komunikacji prowadzonej przez platformy współpracy i komunikatory, zwłaszcza gdy rozmowa zostaje nagle przeniesiona z e-maila do kanału alternatywnego.
W warstwie technicznej warto wdrożyć detekcje dla DLL side-loading, nietypowych uruchomień procesów potomnych przez aplikacje biurowe oraz aktywności związanej z ładowaniem bibliotek z katalogów tymczasowych i archiwów pobranych z Internetu. Należy również monitorować dostęp do magazynów danych przeglądarki, w szczególności prób odczytu zapisanych poświadczeń, cookies i baz historii przez procesy nietypowe dla środowiska użytkownika.
Istotne jest ograniczenie użycia narzędzi typu remote admin do ściśle kontrolowanej listy aplikacji i hostów. Jeśli w organizacji nie ma uzasadnionej potrzeby korzystania z AnyDesk lub podobnych narzędzi, ich uruchamianie powinno być blokowane lub wymagać dodatkowej autoryzacji. Warto również stosować polityki application allowlisting oraz kontrolę uruchamiania interpreterów i skryptów, w tym Pythona, gdy nie jest on wymagany na stacjach roboczych.
Od strony procesowej zalecane są szkolenia użytkowników dotyczące przynęt HR, podatkowych i finansowych, a także procedury weryfikacji kontaktów przenoszonych na WhatsApp, Teams czy LINE. Zespół SOC powinien przygotować playbooki reagowania na incydenty obejmujące kradzież danych z przeglądarki, reset sesji użytkowników, unieważnianie tokenów, zmianę haseł oraz szybkie przeglądy punktów końcowych pod kątem loaderów i legalnych narzędzi użytych niezgodnie z przeznaczeniem.
Podsumowanie
TA4922 pokazuje, że współczesne kampanie phishingowe coraz częściej łączą klasyczną socjotechnikę z elastycznym zestawem loaderów, trojanów zdalnego dostępu i legalnych narzędzi administracyjnych. Rozszerzenie operacji na Wielką Brytanię, Niemcy, Włochy i RPA potwierdza zdolność grupy do szybkiego skalowania działań i adaptacji do nowych rynków ofiar. Dla obrońców kluczowe jest odejście od myślenia o phishingu wyłącznie jako problemie poczty elektronicznej i objęcie ochroną całego łańcucha komunikacji, wykonania kodu, kradzieży danych oraz utrzymania dostępu.
Źródła
- The Hacker News — https://thehackernews.com/2026/06/china-linked-ta4922-expands-phishing.html
- Proofpoint — TA4922: The Suspected Chinese Crime Group is Going Global — https://www.proofpoint.com/us/blog/threat-insight/ta4922-suspected-chinese-crime-group-going-global