TA416 ha regresado a Europa con una nueva oleada de correos de espionaje dirigidos a personal gubernamental y diplomático. La campaña combina reconocimiento sigiloso con entrega de malware, demostrando cómo un actor de amenazas paciente puede probar quién abre un mensaje antes de enviar un seguimiento más peligroso. Desde mediados de 2025 hasta principios de 2026, el grupo alineado con China ha atacado misiones diplomáticas

TA416 ha regresado a Europa con una nueva oleada de correos de espionaje dirigidos a personal gubernamental y diplomático. La campaña combina reconocimiento silencioso con la entrega de malware, demostrando cómo un actor de amenazas paciente puede probar quién abre un mensaje antes de enviar un seguimiento más peligroso.

Desde mediados de 2025 hasta principios de 2026, el grupo alineado con China apuntó a misiones diplomáticas ante la UE y la OTAN en varios países europeos.

En marzo de 2026, también amplió su actividad a entidades gubernamentales y diplomáticas en Oriente Medio tras el conflicto en Irán, lo que sugiere que sus objetivos cambian con los principales eventos geopolíticos.

Los correos con web bugs provenían de cuentas de correo gratuitas y utilizaban temas como preocupaciones humanitarias, solicitudes de entrevistas, propuestas de colaboración y un artículo sobre Groenlandia para atraer a lectores diplomáticos.

Cada mensaje empleaba URLs de seguimiento únicas o nombres de archivos de imágenes para que el actor pudiera identificar qué objetivos abrían o hacían clic en el anzuelo.

Los investigadores de Proofpoint señalaron que el grupo usó web bugs, enlaces maliciosos a archivos comprimidos, cuentas de correo gratuitas y buzones diplomáticos o gubernamentales comprometidos para llegar a las víctimas.

Identificaron cambios repetidos en la cadena inicial de infección, pero con un objetivo final constante: cargar una puerta trasera PlugX personalizada mediante DLL sideloading.

El impacto es grave porque la operación está diseñada para la recolección de inteligencia, no para delitos de "golpe y fuga".

Los web bugs revelan si un objetivo abrió un correo, mientras que las etapas posteriores pueden dar a los atacantes acceso remoto, detalles del host y una forma de descargar más cargas útiles o abrir una shell inversa.

Las campañas posteriores se dirigieron fuertemente a buzones vinculados a delegaciones ante la UE y la OTAN, no solo a direcciones gubernamentales ordinarias.

Cadena de infección

Un aspecto llamativo de esta campaña es cómo TA416 modificaba constantemente la puerta de entrada mientras mantenía la misma "habitación" detrás.

Entre septiembre de 2025 y marzo de 2026, Proofpoint observó páginas falsas de Cloudflare Turnstile, abuso de redirecciones OAuth de Microsoft Entra ID y archivos comprimidos que contenían un ejecutable de MSBuild renombrado con un archivo de proyecto C# malicioso.

En la oleada anterior, las páginas falsas de Turnstile suplantaban páginas de inicio de sesión de Microsoft y llevaban a los usuarios a archivos ZIP alojados en Microsoft Azure Blob Storage.

Esos archivos ZIP usaban ZIP smuggling y archivos LNK para extraer y ejecutar la siguiente etapa, terminando con un ejecutable firmado, una DLL maliciosa y una carga útil cifrada que cargaba PlugX en memoria.

Más tarde, TA416 abusó de URLs legítimas de autorización de Microsoft al registrar aplicaciones de terceros en Entra ID y forzar un fallo de autorización.

Este truco redirigía a las víctimas a páginas de descarga controladas por los atacantes, haciendo que los correos parecieran más seguros para los usuarios y también eludiendo algunas comprobaciones de reputación de URLs porque el primer enlace apuntaba a un dominio de Microsoft confiable.

Para febrero de 2026, el actor cambió nuevamente y usó archivos comprimidos alojados en Google Drive o SharePoint comprometidos.

Estos archivos contenían un ejecutable de MSBuild renombrado y un archivo CSPROJ malicioso que decodificaba URLs codificadas en Base64, descargaba otro paquete de sideloading a la carpeta temporal y lanzaba PlugX mediante un ejecutable legítimo.

Las variantes recientes de PlugX también mostraron mayor evasión y persistencia. Proofpoint informó que en muestras de marzo de 2026, el conjunto de sideloading se copiaba a C:\Users\Public\Canon y se creaba una clave de registro Run llamada Canon para el inicio automático, mientras que el cargador empleaba hashing de API, código basura y aplanamiento del flujo de control para dificultar el análisis.

Una vez activo, PlugX usaba comunicación de comando y control basada en HTTP con tráfico cifrado mediante RC4, enviaba detalles básicos del host al servidor y soportaba comandos para descargar nuevas cargas útiles, cambiar valores de temporización, abrir una shell inversa o desinstalarse.

Las organizaciones expuestas a este tipo de ataques deberían tratar los correos con temas diplomáticos, archivos comprimidos alojados en la nube inesperados y enlaces de inicio de sesión de Microsoft que desencadenen descargas como de alto riesgo.

Filtrar fuertemente archivos LNK, ZIP, RAR y de proyecto, bloquear la ejecución innecesaria de MSBuild, monitorear cambios en el registro Run y buscar tráfico HTTP estilo PlugX son pasos sensatos para reducir la exposición.

Desactivar la carga automática de imágenes externas cuando sea posible y analizar en sandbox los archivos comprimidos de enlaces en la nube también pueden disminuir el valor del reconocimiento con web bugs y los trucos de entrega en etapas tempranas del grupo.