Proofpoint warnt: TA4922 setzt Atlas RAT, RomulusLoader, SilentRunLoader und ValleyRAT ein

Sicherheitslage und Risiko

Proofpoint hat mit hoher Wahrscheinlichkeit festgestellt, dass die Gruppe KI-gestützte Codierungswerkzeuge einsetzt, um neue Python-basierte Malware schnell zu entwickeln. Unveränderte Platzhalterwerte im Code von SilentRunLoader, wie beispielsweise der String „your_secret_key_here", deuten darauf hin, dass der Code mit minimalem Review erstellt wurde.

Dieser schnelle Entwicklungszyklus bedeutet, dass Verteidiger ständig neuen Varianten hinterherjagen. TA4922 setzt Atlas RAT, RomulusLoader, SilentRunLoader und ValleyRAT ein. TA4922 führte zwischen März und April 2026 mehrere bemerkenswerte Kampagnen durch, bei denen jeweils unterschiedliche Malware eingesetzt wurde.

Anfang März sandte die Gruppe an Organisationen in Japan personalisierte E-Mails mit HR-Themen, die als Gehaltsanpassungsbekanntmachungen getarnt waren.

Technischer Hintergrund

Diese enthielten ZIP-Dateien, die auf GoFile gehostet wurden, und lösten beim Öffnen ein DLL-Sideloading aus, um Atlas RAT zu liefern, der sich mit einem Command-and-Control-Server unter der IP-Adresse 206.238.115.58 über Port 886 verband.

Eine zweite Atlas RAT-Kampagne im April richtete sich gegen Organisationen im Vereinigten Königreich und in Deutschland und nutzte HR-basierte Köder mit Dateinamen wie „Paperwork.zip". RomulusLoader tauchte Ende März auf und zielte auf japanische Organisationen über von LimeWire gehostete Dateien ab.

Mitte April setzte TA4922 RomulusLoader ein, um legitime Remote-Monitoring-Tools wie AnyDesk und SyncFuture zu verteilen und diese in den normalen Netzwerkverkehr zu integrieren.

Technischer Hintergrund

SilentRunLoader wurde gegen Ziele im Vereinigten Königreich eingesetzt, um unter Verwendung gefälschter E-Mails von Steuerbehörden Chrome-Zugangsdaten zu stehlen und an einen vom Angreifer kontrollierten Server zu senden.

Atlas RAT ist ein voll funktionsfähiger Backdoor mit Fähigkeiten wie Keylogging, Screenshot-Erfassung, Webcam-Aufnahme, Dateiverwaltung und Ausführung von Remote-Befehlen. Es führt mehrere Anti-Sandbox-Prüfungen durch und kommuniziert mit seinem Server unter Verwendung von ChaCha-Verschlüsselung.

ValleyRAT, der auf dem Winos4.0-Framework basiert, fügt DDoS-Unterstützung hinzu und lädt zusätzliche Module auf Abruf herunter. Gemeinsam gewähren diese Tools TA4922 tiefgreifenden und anhaltenden Zugriff auf kompromittierte Systeme.

Sicherheitslage und Risiko

Schutz vor TA4922 und seinen Malware-Werkzeugen Unternehmen müssen jetzt handeln, um ihre Exposition gegenüber dieser Bedrohung zu reduzieren. Proofpoint empfiehlt die Erzwingung einer Anwendungsberechtigungsliste für vertrauenswürdige Verzeichnisse, um das Ausführen nicht genehmigter ausführbarer Dateien zu verhindern.

Teams sollten zudem die Ausführung aus temporären Ordnern wie %TEMP% und %APPDATA% überwachen oder blockieren, da diese von Malware wie RomulusLoader häufig missbraucht werden. Die Beobachtung von ausführbaren Dateien, die in Root-Verzeichnissen geschrieben werden, kann verdächtige Aktivitäten frühzeitig erkennen.

Netzwerksicherheitsverantwortliche sollten Datenverkehr zu ungewöhnlichen Ports, insbesondere Port 1234, der von der C2-Infrastruktur von RomulusLoader genutzt wird, kennzeichnen. Die Anwendung des Prinzips der geringsten Rechte über alle Konten hinweg begrenzt den Schaden, den ein Angreffer verursachen kann, sobald er in das Netzwerk eingedrungen ist.

Technik und Auswirkungen

Da TA4922 bekanntermaßen Opfer von E-Mail-Kommunikation auf Messaging-Plattformen wie WhatsApp und Microsoft Teams weiterleitet, sollten Sicherheitsteams Mitarbeiter schulen, um dieses Social Engineering zu erkennen und zu melden, bevor es zu einem vollständigen Kompromittierung führt.

Indikatoren für Kompromisse (IoCs): IP-Adresse: Indikator: 206.238.115.58; Beschreibung: Atlas RAT C2 (Kampagne 1, März 2026). IP-Adresse: Indikator: 154.211.86.110; Beschreibung: Atlas RAT C2 (Kampagnen 2 und 3, April 2026). IP-Adresse: Indikator: 43.156.77.97; Beschreibung: RomulusLoader C2 (März 2026).

IP-Adresse: Indikator: 103.214.172.33; Beschreibung: RomulusLoader First-Stage C2 (April 2026). IP-Adresse: Indikator: 18.139.83.110; Beschreibung: SilentRunLoader-IP zur Datenexfiltration. Domain: Indikator: ws[.]ztts88[.]cyou; Beschreibung: SilentRunLoader C2-Domain.

Technik und Auswirkungen

URL: Indikator: https://ws.ztts88[.]cyou/file/cg[.]exe; Beschreibung: SilentRunLoader-Payload-Download-URL. URL: Indikator: https://ws.ztts88[.]cyou/upload[.]php; Beschreibung: SilentRunLoader-URL zur Datenexfiltration. Hinweis: IP-Adressen und Domains wurden absichtlich „defanged" (z.

B. durch [.] ) dargestellt, um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern. Die Wiedergewinnung (Re-fang) ist ausschließlich in kontrollierten Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrem SIEM durchzuführen. Tushar ist ein Senior-Experte für Cybersecurity und Berichterstattung über Sicherheitsvorfälle.

Er spezialisiert sich auf die Berichterstattung über Cybersecurity-Nachrichten, Trends und neu auftretende Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Website zum Herunterladen von gewaffnetem ChatGPT verteilt Malware über bezahlte Suchergebnisse.

Die 0-Day-Schwachstelle in Comodo Internet Security ermöglicht Angreifern, das Windows-System des Benutzers zum Absturz zu bringen. Teams und Google Drive werden ausgenutzt, um Systeme innerhalb von 20 Minuten zu kompromittieren.