中国語話者の脅威アクターとして追跡されているTA4922が、税務をテーマにしたフィッシングキャンペーンを用いて、Telegramチャンネル上で販売されているモジュール式リモートアクセス型トロイの木馬(RAT)フレームワーク「PackClient」を展開しています。
Proofpointの研究者たちは、2026年5月から7月にかけて、同グループが中国本土とインドの組織を標的とし、税務当局を装った通知で受信者に不正な圧縮ファイルを開かせるよう仕向けている様子を確認しました。
この活動は、TA4922の初期アクセス用ツールキットが拡大していることを示すとともに、中国語話者のサイバー犯罪市場において高度なマルウェアの入手が容易になりつつある実態を浮き彫りにしています。
PackClientは、データ窃取、監視、遠隔操作、ペイロード配信、永続化といった機能をオペレーターに提供するため、スパイ活動、金融犯罪、偵察、あるいはランサムウェアへの後続展開など幅広い用途に適しています。
5月下旬に検知された最初のキャンペーンでは、山東省税務局を騙る手口が使われました。メールでは、対象組織が2026年の税務調査対象に選ばれたこと、そして購入・販売・賃貸契約に係る印紙税を滞納しているとの申し立てが記載され、受信者に警告を発していました。
被害者は、攻撃者が管理するドメインgov12366[.]comから数据资料.zipという名前のZIPアーカイブをダウンロードするよう誘導されました。このアーカイブには実行ファイル资料数据[.]exeが含まれており、これがPackClientの感染チェーンを開始させます。
このマルウェアの第一段階のダウンローダーは、まず自身が昇格した権限を持っているかどうかを確認し、xMain.dllといったDLLをドロップした上で、rundll32.exe経由でこれを実行します。
続いて暗号化された第二段階のペイロードを取得して復号し、一般的には%TEMP%\svchost.exeという正規プロセスを装った実行ファイルとして保存した後、RunOnceレジストリによる永続化を確立します。
TA4922はその後、このキャンペーンをインドの標的向けに改変しました。7月中旬には、インド所得税局を装ったヒンディー語のメールを送信しています。
これらのメールは、被害者が所得を過少申告している、あるいは海外資産を開示していないと非難し、罰金を科すと脅す内容でした。実行ファイルを直接送りつける代わりに、メールにはTax_Notice_23665.zipやITDTAX202601987.zipといったZIPアーカイブが使用されており、それぞれにIMGディスクイメージファイルが含まれていました。
IMGファイルがマウントされると、実行ファイルと悪意のあるDLLが展開されます。この感染チェーンではDLLサイドローディングの手法を用いてDonut Loaderを起動し、最終的にPackClientをインストールしていました。
Proofpointの観測によれば、あるキャンペーンでは侵害後に64[.]81[.]30[.]99への通信が、別のキャンペーンではTCPポート6666経由で192[.]252[.]180[.]45への通信が確認されています。
後者のケースでは、攻撃者は初回の侵害から数時間後にManageEngine製のリモート監視・管理ソフトウェアを展開しており、より広範なリモートアクセス手段を確立しようとする意図がうかがえます。
PackClientは、初期ダウンローダー、PackClientLauncherと呼ばれる第二段階のローダー、RATモジュールであるPackClientCore、そしてダウンロード可能なプラグイン群から構成されています。
ローンチャーはコアモジュールを取得し、リフレクティブ・ローディングによってメモリ上に読み込みます。一方、別途起動する--guardプロセスがRATを監視し、終了させられた場合には再起動を行います。コアコンポーネントは同時に2本のC2接続をサポートし、60種類を超えるコマンドを受け付けます。
その機能には、シェル実行、ファイルシステム管理、プロセス列挙、スクリーンショット取得、ウェブカメラへのアクセス、プロキシトンネリング、レジストリ操作、ブラウザデータの収集、キーロギング、クリップボードのハイジャック、プラグインのインストールなどが含まれます。
また、このマルウェアはTelegram Desktopの存在を確認する機能を持ち、ローカルのTelegram設定データを改変するプラグインをサポートしている可能性があり、通信の傍受を可能にするおそれがあります。
PackClientは、C2ホスト、ポート、キャンペーン識別子、システムUUID、インストール日時などの設定データをHKCU\SOFTWARE\PackClientConsole\配下に保存します。
防御担当者は、一時ディレクトリからDLLを読み込む不審なrundll32.exeの実行、%TEMP%\svchost.exeを起動するRunOnceエントリ、特徴的なsvchost.exe --guardというプロセスパターン、そしてポート6666を使った異常な外向きTCP通信を検知対象として監視すべきです。
注記: IPアドレスおよびドメインは、意図せず名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記（例: [.]）としています。再有効化はMISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査体制を強化する
翻訳元: https://cyberpress.org/ta4922-hackers-use-tax-phishing/
