Uma campanha atribuída ao grupo TA4922 está usando mensagens fiscais falsas para entregar o RAT PackClient a organizações na Ásia, com potencial de expansão para outros mercados. O malware permite roubo de dados, vigilância e instalação de componentes adicionais. A prioridade para as equipes defensivas é bloquear arquivos compactados e imagens de disco recebidos por e-mail, investigar execução de atalhos e revisar conexões de saída de estações que tenham aberto documentos tributários inesperados.
O que foi observado
A Proofpoint identificou o PackClient em uma campanha que imitava a autoridade tributária da província chinesa de Shandong. A mensagem combinava linguagem de conformidade, ameaça de penalidade e um pedido para consultar documentação por meio de um link. O objetivo não era apenas induzir um clique: a cadeia levava a um arquivo ZIP hospedado em infraestrutura controlada pelo atacante e continha um executável que iniciava a instalação do RAT.
O relatório técnico descreve o PackClient como uma estrutura modular de comando e controle anunciada em canais chineses do Telegram. O malware pode realizar roubo de informações, vigilância e download de plugins ou outras cargas. A comercialização de uma estrutura desse tipo amplia o risco: mesmo que a campanha observada seja regionalizada, o componente pode ser reutilizado por operadores diferentes, com novos temas de engenharia social e novos domínios.
O caso não deve ser tratado como uma simples fraude de e-mail. Uma estação comprometida pode se tornar ponto de apoio para coleta de credenciais, reconhecimento do ambiente e implantação de software legítimo de administração remota. A combinação entre malware próprio e ferramentas conhecidas dificulta a distinção entre atividade administrativa e persistência maliciosa.
A cadeia de infecção
O fluxo começa com a personificação de uma autoridade pública. O link da mensagem direciona a vítima para um arquivo compactado chamado 数据资料.zip. Dentro dele, o executável 资料数据.exe inicia a instalação do PackClient. A escolha de nomes e do idioma acompanha o público-alvo e reduz a probabilidade de a mensagem ser interpretada como uma campanha genérica.
Em campanhas posteriores, os operadores mantiveram a lógica de cobrança fiscal, mas adaptaram a personificação para a autoridade tributária indiana e utilizaram mensagens em hindi. Essa mudança é operacionalmente relevante porque demonstra que a técnica pode ser localizada sem alterar substancialmente a infraestrutura de entrega. Filtros que dependem somente de idioma, remetente ou marca da autoridade podem falhar quando o mesmo método reaparece com outro contexto regional.
A análise independente da Deception.Pro observou uma cadeia com arquivo ZIP, imagem de disco, carregamento lateral de DLL e Donut Loader antes da execução do PackClient. O relatório também registrou comunicação com infraestrutura externa e a implantação posterior do software ManageEngine RMM. Para o SOC, esse encadeamento significa que a investigação precisa procurar eventos anteriores e posteriores ao processo que disparou o alerta inicial.
O PackClient não precisa exibir comportamento ruidoso para ser perigoso. Um RAT modular pode aguardar comandos, coletar dados sob demanda e receber plugins somente quando o operador considerar que o ambiente está pronto. Por isso, a ausência de criptografia roubada, movimentação lateral ou exfiltração volumosa no primeiro alerta não é evidência de que a intrusão terminou.
Onde procurar sinais
O primeiro conjunto de sinais está no correio eletrônico: assuntos sobre impostos, regularização ou penalidades; links para domínios sem relação com a autoridade citada; arquivos ZIP ou IMG; atalhos do Windows; executáveis com nomes compatíveis com documentos administrativos; e mensagens que pressionam o destinatário a agir sem validação independente.
No endpoint, priorize processos que surjam a partir de clientes de e-mail, navegadores, diretórios temporários e montagens de imagens de disco. Correlacione criação de DLL, execução de carregadores, acesso a arquivos de configuração de aplicativos de mensagens e instalação de RMM pouco depois de um evento de phishing. A presença de uma ferramenta legítima não deve encerrar a investigação: verifique quem iniciou o processo, qual conta o executou, de onde veio o instalador e se houve uma solicitação administrativa correspondente.
Na rede, procure conexões de saída de estações de usuário para endereços e portas que não fazem parte do padrão corporativo. A Deception.Pro registrou atividade para a porta 6666 e também descreveu tráfego de carregamento pela porta 8080; esses valores são indicadores contextuais, não assinaturas suficientes. Bloqueá-los globalmente pode causar impacto operacional e não impede o uso de outras portas. A decisão correta é combinar destino, processo, usuário, horário e sequência de eventos.
| Momento | Verificação | Decisão |
|---|---|---|
| Recebimento | Link fiscal, ZIP, IMG ou LNK | Reter e validar por canal conhecido |
| Execução | Processo filho de e-mail ou navegador | Isolar o endpoint e preservar evidências |
| Pós-execução | DLL, carregador, RMM ou conexão incomum | Revogar credenciais e ampliar a busca |
| Resposta | Outros destinatários com a mesma mensagem | Bloquear campanha e caçar nos endpoints |
Decisão para o SOC
P1: isole imediatamente qualquer estação que tenha executado o anexo ou montado a imagem. Preserve a linha do tempo, o arquivo original, os processos, as conexões e os registros de autenticação antes de limpar o host. Bloqueie os indicadores extraídos da investigação no gateway de e-mail, DNS, proxy, EDR e firewall, sem depender de um único endereço.
Revogue sessões e credenciais usadas na estação, principalmente se o equipamento acessava sistemas financeiros, administrativos ou de nuvem. A troca de senha sozinha pode não encerrar tokens e sessões já estabelecidos. Examine criações recentes de contas, alterações de grupos, consentimentos de aplicativos e instalação de ferramentas de acesso remoto. Se a organização não consegue determinar o escopo, trate a máquina como comprometida até concluir a análise.
P2: endureça o tratamento de anexos compactados, imagens de disco, atalhos e executáveis recebidos por correio. A política deve considerar o tipo real do arquivo, não apenas a extensão apresentada ao usuário. Restringir a execução em diretórios temporários, exigir elevação controlada para instalar RMM e registrar carregamento lateral de DLL reduz a margem de manobra do operador.
O treinamento também precisa mudar. Em vez de ensinar apenas a reconhecer logotipos falsos, estabeleça um procedimento: nenhuma cobrança, multa ou alteração cadastral recebida por mensagem deve ser validada pelo próprio link. A equipe deve acessar o portal oficial por um marcador conhecido ou confirmar a solicitação usando um contato independente. Essa regra continua válida quando a mensagem contém dados corretos da empresa ou parece vir de uma autoridade real.
O que monitorar depois
Durante a caça, procure a mesma mensagem em caixas de entrada, endpoints que abriram arquivos semelhantes e domínios registrados para imitar repartições públicas. Correlacione telemetria de e-mail com criação de processos, DNS, proxy e identidade. Dê atenção a computadores que fizeram conexões para a infraestrutura suspeita mas não apresentaram alerta de malware: um componente modular pode ter sido baixado, bloqueado ou executado em memória sem gerar o mesmo artefato em disco.
Também vale revisar o inventário de RMM autorizado. Cada instalação deve possuir proprietário, finalidade, prazo e origem verificáveis. Ferramentas sem esse contexto precisam ser colocadas em quarentena para análise, especialmente quando surgem após uma mensagem fiscal ou junto de carregadores desconhecidos.
O caso PackClient reforça uma decisão simples: campanhas de malware não precisam de uma vulnerabilidade inédita quando conseguem combinar autoridade falsa, pressão financeira e ferramentas legítimas. A defesa mais eficaz é interromper a cadeia cedo, registrar o contexto e tratar a identidade como parte da resposta ao endpoint. Para complementar esse trabalho, veja a análise sobre validação de pedidos fora da mensagem e o guia sobre uso de serviços confiáveis para esconder intrusões.