TA4922 Perluas Serangan Phishing ke Inggris, Jerman, Italia, dan Afrika Selatan

Sebuah kelompok kejahatan dunia maya baru yang terkait dengan Tiongkok yang dikenal sebagai TA4922 telah memperluas fokus penargetan mereka untuk menargetkan organisasi-organisasi Eropa di Inggris, Jerman, Italia, dan Afrika Selatan.

Upaya ini telah dilengkapi dengan "tempo operasional yang cepat" dan gudang malware yang terus berkembang yang terdiri dari keluarga terkenal seperti ValleyRAT (alias Winos 4.0) dan Atlas RAT (alias AtlasCross RAT), serta alat yang sebelumnya tidak terdokumentasi bernama RomulusLoader dan SilentRunLoader, menurut Proofpoint.

Perusahaan keamanan perusahaan ini mengawasi aktivitas tersebut dengan nama TA4922, dan menggambarkannya sebagai aktor ancaman berbahasa Mandarin yang sebagian besar menargetkan Asia Timur. TA4922 dinilai memiliki beberapa tingkat tumpang tindih dengan Silver Fox, dengan keahlian pelaku ancaman yang lebih fokus pada tujuan penjahat dunia maya dibandingkan spionase.

“Aktor tersebut kemungkinan besar termotivasi secara finansial dan fokus untuk mendapatkan akses jarak jauh ke lingkungan korban demi keuntungan finansial, seperti pencurian data, penipuan, penjualan kembali akses, atau akses terus-menerus,” kata perusahaan tersebut, mencirikannya sebagai musuh yang melakukan “kampanye yang lebih unik” dibandingkan aktor ancaman lain yang dilacaknya.

Namun, dalam beberapa bulan terakhir, serangan yang dilakukan oleh kelompok peretas ini mengandalkan kampanye phishing yang menggunakan umpan bertema sumber daya manusia dan bisnis untuk phishing kredensial, penipuan, dan pengiriman malware, termasuk Atlas RAT, RomulusLoader, dan SilentRunLoader.

Pergeseran penting lainnya melibatkan upaya untuk memindahkan percakapan dari email ke saluran komunikasi out-of-band seperti LINE, WhatsApp, dan Microsoft Teams, yang memungkinkan penyerang melewati kontrol keamanan perusahaan dan mencuri data atau mengirimkan malware. Detail dari beberapa kampanye phishing TA4922 yang baru-baru ini diamati ada di bawah -

6 Maret 2026: Menggunakan umpan terkait sumber daya manusia dalam serangan yang menargetkan organisasi Jepang untuk mengirimkan Atlas RAT melalui pemuatan samping DLL

23 Maret 2026: Menggunakan umpan bertema perusahaan dan sumber daya manusia dalam serangan yang menargetkan organisasi Jepang untuk mengirimkan loader berbasis C yang disebut RomulusLoader melalui side-loading DLL

30 Maret 2026: Menggunakan umpan terkait otoritas pajak dalam serangan yang menargetkan organisasi di Inggris untuk mengirimkan pemuat dan pencuri berbasis Python berkode getaran yang disebut SilentRunLoader, yang kemudian menjatuhkan file yang dapat dieksekusi untuk mengambil data sensitif dari Google Chrome termasuk kredensial yang disimpan, cookie, dan informasi penjelajahan

2 April 2026: Menggunakan umpan komunikasi sumber daya manusia dalam serangan yang menargetkan organisasi di Inggris dan Jerman untuk mengirimkan Atlas RAT melalui pemuatan samping DLL

7 April 2026: Menggunakan umpan terkait faktur dalam serangan yang menargetkan organisasi Jepang untuk mengirimkan Atlas RAT melalui pemuatan samping DLL

10 April 2026: Menggunakan umpan bertema manfaat dan kepatuhan dalam serangan yang menargetkan organisasi di Asia Tenggara dan Inggris untuk mengirimkan SilentRunLoader melalui pemuatan samping DLL dan mengekstrak data Chrome

Pertengahan April 2026: Menggunakan tema terkait bisnis dan pajak dalam serangan yang menargetkan organisasi di Jepang dan Jerman untuk mengirimkan RomulusLoader, yang kemudian digunakan untuk menerapkan AnyDesk dan SyncFuture melalui pemuatan samping DLL

“Meskipun pelakunya dinilai memiliki motivasi finansial, kemampuan malware tersebut mencakup potensi pengawasan, yang dapat digunakan atau dijual kepada kelompok spionase,” kata Proofpoint. “Sifat global dari aktor ini menunjukkan bagaimana organisasi harus mewaspadai ancaman yang muncul dan kompleks, terlepas dari penargetan geografisnya. Aktor seperti ini dapat dengan cepat memperluas dan memperluas taktik mereka untuk mencakup lebih banyak target kapan saja.”

Apakah artikel ini menarik? Ikuti kami di Google Berita, Twitter, dan LinkedIn untuk membaca lebih banyak konten eksklusif yang kami posting.

Buka sumber asli di thehackernews.com