中国系ハッカー、税金をテーマにしたフィッシング攻撃でPackClient RATを展開しデータを窃取

中国語話者の脅威アクターTA4922が、中国本土とインドの組織を標的とした税金をテーマにしたフィッシングキャンペーンを通じて、リモートアクセス型トロイの木馬「PackClient」を展開していることが分かりました。

Proofpointが2026年5月と7月に観測したこの活動は、同グループの初期アクセス能力の拡大と、中国語圏のTelegramマーケットプレイスにおける高度なマルウェアの流通拡大を示しています。

マルウェア分析ツール

PackClientはモジュール式のリモートアクセス型トロイの木馬フレームワークであり、スパイ活動、金融詐欺、偵察、認証情報窃取、データ流出、さらにはその後のランサムウェア攻撃をも支援できます。

このフレームワークはTelegramチャンネルを通じて販売されており、初期ダウンローダー、PackClientLauncherと呼ばれる第2段階のローダー、PackClientCoreというRATモジュール、そしてダウンロード可能なプラグインで構成されています。最初のキャンペーンは5月下旬に確認され、山東省税務局を偽装していました。

中国系ハッカーによるPackClient RATの展開

TA4922は、受信者の組織が2026年の税務調査対象に選ばれ、購入・販売・賃貸契約に関する印紙税を滞納していると主張するメールを送信しました。攻撃者は規制上の圧力と金銭的な罰則の可能性を用いて、標的に悪意あるファイルを開かせるよう仕向けていました。

被害者は、政府の税務サービスを模倣するよう作られた攻撃者管理下のドメインgov12366[.]comから、数据资料.zipという名前のZIPアーカイブをダウンロードするよう誘導されました。

このアーカイブには资料数据.exeが含まれており、これがPackClientの感染チェーンを起動します。第1段階のダウンローダーは昇格した権限を持っているかを確認し、xMain.dllなどのDLLをドロップしてrundll32.exeを使って実行します。

その後、ダウンローダーは暗号化されたペイロードを取得して復号し、通常は%TEMP%\svchost.exeという偽装ファイル名でディスクに書き込みます。

システム再起動後も生き残るため、このマルウェアはRunOnceレジストリの永続化エントリを作成し、ペイロードを起動します。一時ディレクトリ内の実行ファイルと信頼済みのWindowsユーティリティを利用するこの手口により、エンドポイントのテレメトリなしでは初期実行の流れを特定しにくくなる可能性があります。

その後、TA4922はこの攻撃をインドの標的向けに改変しました。7月中旬、同グループはインド所得税局を装ったヒンディー語のメールを配布しました。

これらのメッセージは、受信者が所得を過少申告している、あるいは海外資産を開示していないと非難し、罰則をちらつかせながら、添付された税務資料を確認するよう求めていました。

インド向けのメッセージでは、Tax_Notice_23665.zipやITDTAX202601987.zipといったZIPアーカイブが使われていました。各アーカイブにはIMGディスクイメージファイルが含まれていました。

このイメージをマウントすると、実行ファイルと悪意あるDLLが現れます。攻撃者はDLLサイドローディングを利用してDonut Loaderを起動し、最終的にデバイスにPackClientをインストールしていました。

Proofpointの観測によると、あるキャンペーンではPackClientに関連する侵害後の通信が64[.]81[.]30[.]99宛てに確認されました。また別のケースでは、侵害されたホストがTCPポート6666を使って192[.]252[.]180[.]45と通信していました。

ある初期感染から数時間後、攻撃者はManageEngine Remote Monitoring and Managementソフトウェアをインストールしており、リモートアクセスの拡大と、被害環境全体にわたる対話的な操作を可能にしようとする意図がうかがえます。

PackClientLauncherコンポーネントは、PackClientCoreをダウンロードしてメモリ上にリフレクティブロードします。このRATは2つの同時コマンド&コントロールチャンネルと60種類以上のコマンドに対応しています。

シェルコマンドの実行、ファイル管理、プロセスの列挙、スクリーンショットの取得、ウェブカメラへのアクセス、キーストロークの記録、ブラウザデータの収集、レジストリの改変、プロキシトンネルの作成、クリップボードデータの操作、さらなるプラグインのダウンロードが可能です。

データ復旧サービス

研究者らはまた、PackClientがTelegram Desktopの存在を確認していることも突き止めました。あるプラグインはローカルのTelegram設定データを改変する可能性があり、これにより攻撃者が通信を傍受・監視できるようになるおそれがあります。

PackClientは、C2サーバー、ポート、キャンペーン識別子、システムUUID、インストール日時などの設定情報をHKCU\SOFTWARE\PackClientConsole\に保存します。

防御担当者は、一時ディレクトリからDLLを読み込むrundll32.exe、%TEMP%\svchost.exeを起動するRunOnceエントリ、そしてsvchost.exe --guard引数を使用するプロセスを監視すべきです。

このguardプロセスはRATを監視し、終了させられた場合に再起動します。組織はまた、TCPポート6666での想定外の送信トラフィック、税金をテーマにしたZIPやIMGの添付ファイル、承認されていないリモート管理ソフトウェアの展開についても調査すべきです。

侵害指標(IOC)

注: 誤って解決やハイパーリンク化されるのを防ぐため、IPアドレスとドメインは意図的にディフェンジング処理（例: [.]）を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。 

調査の遅れによるインシデントの発生を防ぎましょう。1万5000以上のSOCから得られる脅威インテリジェンスでTier 1を強化: TI Lookupを自社のSOCに統合する