Proofpointが新C2「PackClient」を発見 — Telegramで販売、TA4922が税務通知に偽装して拡散

Proofpointは2026年8月27日、Telegram上で販売されているモジュール式のコマンド＆コントロール（C2）フレームワーク「PackClient」を発見し、中国語圏の脅威アクター「TA4922」が税務テーマのフィッシングで悪用していることを公表した。同社はPackClientを「データ窃取、監視、追加プラグインやペイロードのダウンロードを支援するフル機能のRAT」と評価している。

TA4922が税務通知に偽装して拡散

Proofpointによると、TA4922は2026年5月下旬、中国本土で事業を展開する組織を標的に、山東省税務局を偽装したフィッシングキャンペーンを実施した。メールは「企業の印紙税（印花税）の未納に関する期限付き自主点検通知」を装い、売買契約や賃貸借契約における印紙税の納付漏れを口実に、受信者へ早急な対応を迫る内容だった。

件名は中国語で「企業の印紙税未納に関する期限付き自主点検通知」と記され、本文にはコンプライアンスを強調する文面が含まれていた。Proofpointが公開したスクリーンショット（Figure 1）でも、税務当局の体裁を模した通知が確認できる。攻撃者はこうした公的機関への信頼と納税期限への不安を利用し、添付ファイルやリンクの開封を促していた。

Proofpointは、このキャンペーンで配信されたペイロードをPackClientフレームワークの一部と特定し、TA4922によるものと高い確度で帰属させた。同社は税務ルアー、インフラ、ペイロードの一貫性から判断したと説明している。

60超のコマンドを持つフル機能のRAT

PackClientは、単一のマルウェアではなく、機能をプラグインとして追加できるモジュール式のC2フレームワークだ。Proofpointの分析によると、コアモジュールは2つのC2サーバへ同時にraw TCPで接続し、60超のコマンドを受け付ける。

コマンドはファイル管理、監視、リモート設定に大別され、主な機能は以下の通りだ。

• データ窃取と監視 — 端末内のファイル収集、キーストローク記録、画面監視
• 追加プラグインのダウンロード — C2からの指示で新たなモジュールやペイロードを取得し機能を拡張
• 永続化と遠隔操作 — 設定変更や再接続、追加コンポーネントの展開

Proofpointは、PackClientが中国語圏のサイバー犯罪エコシステムに由来する初期アクセス用マルウェアの系譜に連なるもので、TA4922が従来のツールセットを拡張する形で採用したと分析している。

Telegram販売がもたらす拡散リスク

PackClientの特徴は、その入手経路にある。Proofpointは、PackClientが中国語のTelegramチャネルで積極的に販売されていることを確認した。買い手は既製のツールキットとして入手し、すぐにスパイ活動や窃取に利用できる。

Proofpointは、現時点で確認されている悪用はTA4922によるものだが、「PackClientがTelegramで販売されている以上、他の中国語圏グループが次に採用しても不思議ではない」と指摘している。コモディティ化したマルウェアは攻撃のハードルを下げ、同一フレームワークを用いた複数のキャンペーンが並行して発生する可能性がある。

Proofpointが推奨する対応

Proofpointは報告書で、税務通知や行政手続きを装うフィッシングへの警戒を呼びかけている。組織は、税務局や官公庁を名乗るメールについて、差出人アドレスとドメインの正当性を検証し、添付ファイルの開封前に情報システム部門へ相談する運用を徹底することが望ましい。また、PackClientが2つのC2へraw TCPで同時接続する特性から、外部への不審なTCP通信や未知のバイナリの実行を監視することも有効だ。

同社は「PackClientは初期アクセスの段階で機能するが、一度侵入を許すとデータ窃取や追加マルウェア展開へ迅速に移行する」と述べており、初期フィッシングの阻止と早期検知の両面での対策が重要になる。

出典

• Proofpoint — Carry-On Compromise: TA4922 Packs PackClient