Proofpoint：TA4922、新たなRATとローダーを展開

TA4922として追跡されている急速に進化する脅威クラスターは、中国語話者のサイバー犯罪アクターであり、Atlas RAT、RomulusLoader、SilentRunLoader、ValleyRATを含む多様かつ拡大するマルウェアツールセットを展開しています。

このグループは高い活動頻度、戦術の頻繁な切り替え、そしてカスタムマルウェアと正規ツールやクラウドサービスを融合させる能力で知られており、企業環境での検出を一層困難にしています。

最近のキャンペーンでは規模と巧妙さの両面で明らかな向上が見られており、人事・給与・税務・請求書をテーマにした地域適応型のソーシャルエンジニアリングルアーを活用した攻撃が展開されています。

これらのルアーは地域の言語やビジネス慣習に合わせて入念に作られており、攻撃の成功率を高めています。

Proofpointは、TA4922が金銭的動機を持ち、データ窃取・認証情報収集・詐欺・アクセス転売を目的として被害者システムへのリモートアクセス取得に注力していると評価しています。

従来のサイバー犯罪グループとは異なり、TA4922は複数の目的を持つ重複した作戦を頻繁に展開し、同一キャンペーン内でフィッシング、マルウェア配布、ソーシャルエンジニアリングを組み合わせています。

TA4922の顕著な特徴は、短期間に複数のマルウェアファミリーを使用することです。主要ペイロードの一つであるAtlas RATは、GoFileなどのプラットフォームでホストされている悪意のあるZIPアーカイブを通じてDLLサイドローディングで配信されます。

キャンペーンの主な標的は日本の組織ですが、台湾・韓国・シンガポール・インドを含むアジア各国も標的となっています。近月、このアクターは英国・ドイツ・イタリア・南アフリカのヨーロッパ組織へとグローバルな標的範囲を拡大しました。

2026年3月および4月に観測されたキャンペーンでは、人事部門をテーマにしたメールを使って被害者にファイルを実行させ、最終的にTCPポート886経由でコマンド＆コントロールサーバーへ接続させました。

GBhackersと共有されたレポートでProofpointは、TA4922は少なくとも2025年春から活動を開始しており、当初は東アジア、特に日本の組織を標的としていたが、2026年にはヨーロッパおよびアフリカへと活動を拡大したと述べています。

このマルウェアは持続的なリモートアクセスを提供し、モジュール式プラグインベースの機能をサポートしています。

RomulusLoaderは、追加ペイロードのステージングに使用される新たに特定されたローダーファミリーです。同様のソーシャルエンジニアリング手法で配信され、DLLサイドローディングに加え、プロセスインジェクションや暗号化ペイロード配信といった高度な実行手法を使用します。

実行されると、永続性を確立し、svchost.exeなどのプロセスにインジェクションを行い、コマンド＆コントロールインフラと通信して二次ペイロードを取得します。

TA4922による新たなRATの展開

注目すべきは、TA4922がRomulusLoaderを使用してAnyDeskなどの正規リモート管理ツールやSyncFutureを展開している点です。これにより攻撃者は悪意のある活動を通常の管理トラフィックに紛れ込ませることができます。

URLはGoFileにホストされているZIPファイル（「Paperwork.zip」や「HR (2).zip」などのファイル名）に誘導するものでした。これらには悪意のあるDLLファイル「libcef.dll」を含む実行ファイルが含まれており、実行するとDLLサイドローディングが発生し、Atlas RATが展開されました。

新たに観測された別のペイロードであるSilentRunLoaderは、Pythonベースのローダー兼スティーラーで、Google Chromeから機密データを収集するよう設計されています。

認証情報・Cookie・閲覧データをHTTP POSTリクエストで攻撃者が管理するインフラへ窃取します。分析によると、プレースホルダーAPIキーと単純なコード構造から、このマルウェアの一部はラージランゲージモデル（LLM）を使用して生成された可能性があります。

SyncFutureキャンペーンはドイツの組織を標的とし、ミュンヘン税務署（Finanzamt München）を装いました。メッセージは、受信者が税務調査を受けていると主張する内容でした。

SilentRunLoaderはDLLサイドローディングによってインストールされ、Chromeデータを「ws[.]ztts88[.]cyou」でホストされた既知のC2インフラへ窃取しました。このドメインはIPアドレス18[.]139[.]83[.]110に解決されます。

これはTA4922が自動化された開発手法を活用して、新たなマルウェアの亜種を迅速に量産していることを示唆しています。

マルウェアの展開に加え、TA4922はコミュニケーションを従来のメールチャネル外へ誘導しようとすることが頻繁にあります。キャンペーンでは多くの場合、被害者にLINE・WhatsApp・Microsoft Teamsなどのプラットフォームで会話を続けるよう指示します。

この戦術により、メールベースのセキュリティ制御における可視性が低下し、より効果的なソーシャルエンジニアリングが可能となります。

このアクターはSilver FoxやVoid Arachneとして知られるクラスターとインフラおよびツールの重複が見られますが、ProofpointはTA4922を独立したエンティティとして追跡しています。

中国語アーティファクトの一貫した使用、地域的な標的パターン、中国プロバイダーに関連するインフラは、中国語話者のエコシステムへの帰属をさらに裏付けています。

総じてTA4922は、高度なトレードクラフトと柔軟かつ急速に進化するマルウェア開発を組み合わせた、新世代のサイバー犯罪作戦の典型例といえます。

ペイロードのローテーション、正規ツールの悪用、グローバルな規模拡大という能力により、複数のセクターにわたる組織にとって重大な脅威となっています。

IOC（侵害の痕跡）

注記： IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にデファング（例：[.]）されています。MISP、VirusTotal、SIEMなどの管理されたスレットインテリジェンスプラットフォーム内でのみ、リファングして使用してください。