TA4922: il gruppo cinese che ha deciso di fare sul serio in Europa – e l’Italia è nel mirino

Campagne di spear phishing altamente localizzate e credibili stanno prendendo di mira anche l’Italia, con email su fisco, HR e fatture elettroniche. Il tasso di evasione degli antispam è molto alto grazie a contenuti personalizzati e impersonificazione di enti come Agenzia delle Entrate e previdenza.

Il Threat Actor TA4922 sta spostando le sue attività dal far east all’europa con specifica menzione dell’Italia come target delle loro campagne di spear phishing altamente personalizzato, localizzato perfettamente e con un tasso di evasione dei sistemi antispam altissimo.

Il 3 giugno 2026, Proofpoint ha pubblicato un report dettagliato su questo threat actor di lingua cinese. Vista la qualità della localizzazione delle mail di phishing e l’analisi delle campagne tedesche e inglesi, è ragionevole aspettarsi che il gruppo stia testando o abbia già attivato campagne in lingua italiana impersonando l’Agenzia delle Entrate o istituti previdenziali.

Gli indicatori di compromissione (ne trovate una tabella dettagliata alla fine dell’articolo) evidenziano file malevoli allegati alle mail che fanno riferimento a: comunicazioni urgenti dall’ufficio risorse umane, mancati pagamenti di fatture, comunicazioni urgenti relativi a tasse o tributi non pagati, ecc.

Malware utilizzati dal gruppo

• Atlas RAT: è un backdoor modulare che copre ricognizione di sistema, esfiltrazione di file, keylogging, cattura screenshot, registrazione audio e video via webcam, e comandi remoti di shutdown/reboot.
• RomulusLoader: è il primo stage usato per caricare tool legittimi di remote management come AnyDesk e SyncFuture (un RMM popolare in Cina, usato stranamente anche nelle campagne contro aziende tedesche).
• SilentRunLoader: è un loader/stealer che esfiltra dati da Google Chrome (credenziali, cookie, browsing history) verso ws[.]ztts88[.]cyou.

Modelli LLM come acceleratore di sviluppo malware

Proofpoint afferma “con alto grado di confidenza” che TA4922 sta usando modelli AI per sviluppare rapidamente nuovi malware Python. I segnali sono inequivocabili: placeholder non rimossi, commenti strutturati nel codice, ecc. Queste evidenze non equivalgono a dire che i malware siano completamente generati da AI. Ma SilentRunLoader ha tutta l’aria di essere vibe-coded: scritto in fretta, con un LLM come co-pilota, modificato il minimo indispensabile e compilato. Il risultato è funzionale ma lascia tracce.

Le campagne documentate: timeline e metodi

I vettori di accesso iniziale sono quasi sempre gli stessi: email di phishing con allegati ZIP o IMG ospitati su servizi di file sharing legittimi (GoFile, MediaFire, LimeWire). Le mail di phishing sono localizzate e specifiche per settore: buste paga, revisioni fiscali, IVA, comunicazioni HR, fatture elettroniche.

Una sequenza tipica in Germania osservata a metà aprile 2026:

1. Email che impersona il Finanzamt München con oggetto “Controllo fiscale in corso”
2. URL a landing page falsa del portale fiscale tedesco
3. ZIP con eseguibile legittimo (Vulkan Loader) + DLL malevola
4. DLL sideloading → RomulusLoader
5. RomulusLoader scarica SyncFuture dall’infrastruttura C2

Le campagne UK usano invece SilentRunLoader con lure HMRC (Her Majesty’s Revenue and Customs) e benefici governativi.

Il fatto che Proofpoint sottolinei esplicitamente che “le capacità di sorveglianza del malware potrebbero essere vendute a gruppi di spionaggio” dice tutto sul livello di attenzione che questo cluster merita.

La difesa passa da tre cose: monitorare il traffico verso le porte non standard (886, 1234), bloccare l’esecuzione di processi da %TEMP% e %APPDATA%, e — soprattutto — fare training specifico sulle email che chiedono di spostare la conversazione su WhatsApp o Teams. Quel pattern è il vettore di accesso umano di TA4922. Ed è quello che funziona meglio.

ANALISI CTI

Profilo Attore

MITRE ATT&CK (TTP osservate)

IOC

IP C2 Confermati

Domini C2

Hash SHA256 (campioni confermati)

URL malevoli

https://ws[.]ztts88[.]cyou/file/cg[.]exe     — SilentRunLoader download
https://ws[.]ztts88[.]cyou/upload[.]php       — SilentRunLoader exfiltration endpoint
https://nwphotoblog[.]com                     — RomulusLoader/SyncFuture landing page

Pattern comportamentali (IOC comportamentali per hunting)

• Connessioni TCP in uscita verso porte 886 e 1234 da processi non autorizzati
• File scritti su C:\Program Files\Common Files\ da processi utente
• Esecuzione di payload da path C:\112.121.183.202ClientSetup.exe (nome con IP nel path)
• DLL sideloading di libcef.dll o vulkan-1.dll da path non standard
• Processo svchost.exe o dllhost.exe creato da processo utente (non da services.exe)
• Check-in C2 con stringa SFuck + 3 null byte su TCP (Atlas RAT beacon signature)
• HTTP POST verso upload.php su domini .cyou da processi Python compilati

Fonti

• Proofpoint Threat Research: TA4922: The Suspected Chinese Crime Group is Going Global
• BleepingComputer: Chinese hackers use new Atlas RAT malware in European cyberattacks
• The Hacker News: China-Linked TA4922 Expands Phishing Attacks to UK, Germany, Italy, and South Africa

Luca Stivali

Cyber Security Enthusiast e imprenditore nel settore IT da 25 anni, esperto nella progettazione di reti e gestione di sistemi IT complessi. Passione per un approccio proattivo alla sicurezza informatica: capire come e da cosa proteggersi è fondamentale.

Aree di competenza: Cyber Threat Intelligence, Architectural Design, Divulgazione