- Proofpointが観測、TelegramでRAT「PackClient」が販売され、TA4922が使用
- 中国とインドで税務当局を騙るメールを送りつけ、PackClientのインストーラーを配布
- 高度な機能を備えたRAT、研究者はアジア圏を超えた拡散を警告
中国のハッカーたちが、ここ約3カ月にわたり、高度なリモートアクセス型トロイの木馬(RAT)「PackClient」を中国本土とインドの組織に対して配布しています。
セキュリティ研究者のProofpointによると、PackClientはTelegramのチャンネルで活発に販売されています。ファイルの窃取や管理、リモートシェルの実行、画面キャプチャやリモートデスクトップ操作、ウェブカメラへのアクセス、キーロギング、権限昇格、システム管理など、多岐にわたる機能を備えたかなり高度なRATです。
Telegramで積極的に販売されているものの、これまでのところ実際に使用しているハッキング集団として確認されているのはTA4922のみです。この集団は国家支援型ではなく、金銭目的のグループとされています。
マルウェアの入手経路
このグループは2026年5月下旬以降、まず中国の組織に対してメールを送りつけ、その後インドの組織にも標的を広げてきました。メールでは地元の税務当局を装い、受信者に対して「自己点検」の実施が必要だとし、添付ファイルで共有された書類のダウンロードと記入を求めていました。
しかしこの「書類」の正体は、PackClientのインストーラーそのものでした。
Proofpointの報告書では、この攻撃の被害に遭った組織の数や、被害組織が多かった業種については言及されていません。
ただし、これまでの報告書では、TA4922は主に日本を拠点とする中小規模の組織を標的にすることが多いと研究者は述べています。ほかにも台湾、韓国、シンガポール、インドが標的として挙げられており、近年では欧州や英国の組織も標的にし始めているとのことです。
Proofpointはまた、PackClientの高度な機能によって、より多くの脅威アクターに採用され、特に西側諸国の組織を標的とした攻撃で使用される可能性があると強調しています。
「PackClientはTelegramを通じて販売されており広く入手可能であることを踏まえると、他の脅威アクターが現在すでに使用している、あるいは今後のキャンペーンで使用する可能性は高いでしょう」と研究者たちは述べています。また、感染が疑われる場合に備え、侵害の痕跡(IoC)の一覧も公開しています。
