Proofpoint: TA4922 weitet Cybercrime-Kampagnen weltweit deutlich aus

TA4922 tauchte laut Proofpoint im Frühjahr 2025 erstmals auf dem Radar der Forscher auf. In der ersten beobachteten Phase agierte die Gruppe demnach deutlich fokussierter: Sie griff japanische Organisationen mit steuerbezogenen Phishing-Mails an oder gab sich als reale Beschäftigte aus. Teilweise versuchte TA4922, die Kommunikation aus den regulären geschäftlichen E-Mail-Konten heraus auf andere Kanäle zu verlagern, und setzte ValleyRAT ein, um Fernzugriff auf Systeme zu erhalten.

In den vergangenen zwei Monaten habe das Operationstempo jedoch deutlich zugenommen. Zwar entfällt ein großer Teil der Aktivitäten weiterhin auf Japan, doch laut Proofpoint visiert die Gruppe inzwischen auch Organisationen in Taiwan, Südkorea, Singapur, Malaysia und Indonesien an. Hinzu kommen Ziele in Europa, darunter das Vereinigte Königreich, Deutschland und Italien, sowie Südafrika.

Die Kampagnen sind dabei jeweils auf lokale Gegebenheiten zugeschnitten. Proofpoint zufolge formuliert TA4922 seine Lockmails in Sprachen und Dialekten, die zu den örtlichen Gepflogenheiten passen. Inhaltlich treten die Angreifer typischerweise als Unternehmens- oder Finanzstellen auf, etwa als Finanzabteilungen, Steuerbehörden oder Personalteams, oder sie imitieren enge Kollegen der Zielperson. Als Köder dienen klassische finanzbezogene Themen wie Steuern oder Rechnungen.

Nach Angaben der Proofpoint-Forscher verwendet TA4922 in seinen Kampagnen Tausende einmalige Wegwerf-Absenderadressen, häufig über Outlook, Hotmail oder Gmail. Die Adressen folgten einem Muster, das auf eine strukturierte Kontoerstellung über diese Plattformen hindeute und die Zustellung erleichtere, indem reputationsbasierte Sperren umgangen würden. Häufig diene E-Mail zudem nur als erster Kontakt; anschließend würden Opfer aufgefordert, auf weniger streng überwachte Plattformen wie Microsoft Teams oder WhatsApp auszuweichen.

Wie es danach weitergeht, variiert stark. Manchmal verschickt TA4922 schädliche Links zu Malware auf Filesharing-Diensten, in anderen Fällen hängen die Angreifer Archivdateien an. Teilweise steckt die Schadsoftware in einer einfachen ausführbaren Datei, teils basiert die Angriffskette auf DLL-Sideloading. In manchen Kampagnen kommt gar keine Malware zum Einsatz; stattdessen werden die Opfer auf Phishing-Seiten zum Diebstahl von Zugangsdaten gelockt.

Auch bei den Werkzeugen zeigt sich die Gruppe flexibel. Proofpoint nennt Fernzugriffs-Trojaner wie ValleyRAT oder Atlas RAT, aber auch legitime Fernwartungs- und Management-Software wie AnyDesk. Für die Einschleusung solcher RMM-Werkzeuge nutzt TA4922 laut den Forschern einen Loader namens RomulusLoader. Daneben setzt die Gruppe auch SilentRunLoader ein, der zugleich als Stealer für Google Chrome fungiert.

Proofpoint betont, dass sich ausgelieferte Nutzlasten bei der ersten Entdeckung oft nicht sofort eindeutig einordnen ließen. Häufig sei zusätzliche Analyse durch Malware-Analysten nötig, um Familien wie Atlas RAT oder andere Varianten aus dem weiteren ValleyRAT-Ökosystem zu bestätigen. Der konsistente Einsatz modifizierter Werkzeuge deute auf den gezielten Versuch hin, Analysen zu erschweren und außerhalb üblicher Malware-Klassifikationen zu operieren.

Offen bleibt zudem die Frage nach der genauen Einordnung von TA4922. Atlas RAT wurde im März von Forschern von Hexastrike erstmals beschrieben, zu einer Zeit, als TA4922 seine Aktivitäten gerade ausweitete. Damals wurde die Malware Silver Fox zugeschrieben, einem chinesischen, staatlich assoziierten Bedrohungsakteur, der laut Bedrohungsforschern die Grenze zwischen Spionage und Cyberkriminalität verwischt. Proofpoint hebt nun verschiedene Überschneidungen zwischen Silver Fox und TA4922 hervor, nicht nur bei der verwendeten Malware, sondern auch bei Infrastruktur und Social-Engineering-Techniken. Das erschwere die trennscharfe Zuordnung dieser Aktivitätscluster zusätzlich.

Ein klares Muster dafür, welche Malware-Familie TA4922 in einer konkreten Kampagne einsetzt, haben die Forscher nach eigener Aussage bislang nicht erkannt. Gerade diese Vielseitigkeit macht die Gruppe aus Sicht von Proofpoint besonders anpassungsfähig gegenüber organisatorischen Schutzmaßnahmen.