TA4922 sferra campagne PackClient in Asia: il RAT modulare comprato su Telegram

Il gruppo cinese TA4922 ha condotto campagne di phishing a tema fiscale in Cina e India tra maggio e luglio 2026, distribuendo il framework RAT PackClient acquistato come kit commerciale su marketplace Telegram di lingua cinese. L'operazione segna un punto di svolta nel mercato delle minacce: framework modulari con oltre 60 comandi e C2 duale, un tempo prerogativa di attori avanzati, sono ora merci standardizzate accessibili a gruppi che non sviluppano strumenti proprietari.

Due ondate, stesso payload: la catena Cina-India

La campagna cinese di maggio ha impersonato la Shandong Provincial Tax Bureau. Il vettore iniziale era un archivio ZIP denominato 数据资料.zip ospitato su gov12366[.]com, contenente l'eseguibile 资料数据.exe. La catena di infezione, documentata dalla fonte, procede con verifica dei privilegi amministrativi, drop di una DLL (xMain.dll) e esecuzione via rundll32.exe. Il sistema recupera quindi un payload criptato, scrive %TEMP%\svchost.exe e stabilisce persistenza tramite chiave RunOnce nel registry.

A luglio, la campagna indiana ha replicato la struttura con localizzazione hindi e lures dell'Indian Income Tax Department. Qui il vettore impiega archivi ZIP contenenti file IMG montabili: al loro interno, un eseguibile legittimo accoppiato a una DLL malevola attiva il DLL sideloading, che carica il Donut Loader responsabile dell'installazione finale di PackClient. La convergenza tecnica tra le due ondate — stesso framework RAT, stessa architettura modulare — conferma che TA4922 opera con un toolkit standardizzato, non con codice custom adattato per ogni obiettivo.

PackClient: anatomia di un RAT-as-a-kit

La novità strutturale è nel modello di procura. Secondo la fonte, PackClient è "malware bought through Chinese-language marketplaces on Telegram rather than building every tool in house". Il framework si compone di downloader, loader, core RAT e libreria plugin con oltre 60 comandi supportati su due canali C2 simultanei. Il launcher in-memory (PackClientLauncher) carica PackClientCore senza file evidenti, riducendo la superficie di rilevamento basata su firme.

I meccanismi di persistenza sono multipli: oltre alla chiave registry RunOnce, un processo watchdog (svchost.exe --guard) monitora l'integrità dell'installazione. La comunicazione con i server di comando avviene su TCP, con indirizzi documentati a 64.81.30[.]99, 192.252.180[.]45:6666, 154.36.188[.]98:8080 (download launcher) e 206.238.196[.]96:6666 (C2 TCP). La configurazione del malware è memorizzata in HKCU\SOFTWARE\PackClientConsole.

Il framework integra inoltre una verifica specifica della presenza di Telegram Desktop; un plugin associato è potenzialmente in grado di modificare le configurazioni locali dell'applicazione. La fonte non specifica se questa capacità sia stata effettivamente attivata in casi confermati.

"The RAT can run more than 60 commands over two simultaneous command and control channels, according to Proofpoint's analysis, which is an unusually high number for a tool still being sold through underground channels rather than developed for a single client"

ManageEngine RMM: il salto all'accesso persistente interattivo

In almeno un caso confermato, documentato dalla fonte, gli operatori hanno installato software di remote monitoring and management di ManageEngine "several hours after the initial infection". La mossa indica un passaggio deliberato dall'accesso silenzioso del RAT a una presenza interattiva più duratura, sfruttando strumenti legittimi per confondersi nel traffico aziendale standard. L'uso di RMM commerciali come strato di persistenza aggiuntivo è una tecnica che erode ulteriormente il confine tra attività malevola e operatività IT legittima.

Cosa fare adesso

Il dossier non documenta misure correttive specifiche del vendor né raccomandazioni operative esplicite da parte della fonte primaria. Le azioni indicate di seguito derivano esclusivamente dai meccanismi tecnici confermati nell'analisi:

• Monitorare esecuzioni di rundll32.exe che caricano DLL da directory temporanee, pattern centrale nella catena di infezione cinese.
• Ispezire chiavi RunOnce nel registry che puntano a %TEMP%\svchost.exe, indicatore di persistenza documentato.
• Controllare processi svchost.exe con argomento --guard, segnale del watchdog PackClient.
• Esaminare traffico TCP outbound verso la porta 6666, usata dai server C2 documentati in entrambe le campagne.

Perché è importante

Il mercato del malware sta attraversando una fase di standardizzazione che ridisegna la gerarchia delle minacce. Quando un framework con 60+ comandi e C2 duale è disponibile su Telegram, il vantaggio competitivo degli APT che investivano mesi di sviluppo custom si dissolve. TA4922 stesso, attivo dal 2025 e precedentemente associato a payload proprietari come Atlas RAT e RomulusLoader, ha optato per l'acquisto commerciale: questo suggerisce che il calcolo economico favorisca il kit rispetto alla ricerca interna.

La conseguenza per la difesa è un problema di attribuzione e di sorveglianza. Più gruppi che acquistano gli stessi framework generano sovrapposizioni tecniche che rendono più arduo collegare un'intrusione a un attore specifico. Al contempo, la democratizzazione di strumenti sofisticati espande il bacino di operatori capaci di campagne con persistenza multipla, living-off-the-land e RMM. La detection basata su firme di codice malevolo diventa insufficiente quando il codice è legittimo, il loader è in-memory e i canali C2 usano porte standard.

La fonte non specifica se altri gruppi oltre a TA4922 stiano già operando con PackClient, né se i server C2 documentati siano ancora attivi. Questi limiti lasciano aperte due questioni: la scala reale della diffusione del framework, e la velocità con cui il modello RAT-as-a-kit verrà replicato per altre piattaforme di messaggistica e altri mercati linguistici.

Fonti

• https://www.kobaran.com/tax-season-phishing-scheme-spreads-new-packclient-malware-across-asia/
• https://www.brinztech.com/breach-alerts/brinztech-alert-ta4922-deploys-new-packclient-rat-framework-in-global-tax-themed-phishing-campaigns
• https://nvd.nist.gov/vuln/detail/CVE-2026-69414
• https://nvd.nist.gov/vuln
• https://nvd.nist.gov/vuln/detail/CVE-2026-20182
• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?cveId=CVE-2026-20182&vector=CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H&version=3.1&sourceName=Cisco%20Systems,%20Inc
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69414
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk