هکرهای مرتبط با چین از ابزار جعلی مالیاتی هند برای استقرار DcRAT استفاده می‌کنند

یک گروه تهدید سایبری مرتبط با چین در عملیاتی با نام رمز «Operation DragonReturn» مالیات‌دهندگان هندی، متخصصان مالیاتی و تیم‌های مالی شرکت‌ها را هدف قرار داده است. این کمپین چندمرحله‌ای که نخستین بار در ۱۸ مه ۲۰۲۶ شناسایی شد، از طریق ایمیل‌های فیشینگ هدفمند (spear-phishing) که جعل هویت سازمان مالیاتی هند را انجام می‌دهند، تروجان دسترسی از راه دور (remote access trojan) DCRat را توزیع می‌کند. محققان امنیتی شرکت Seqrite Labs تأکید کرده‌اند که این عملیات فرصت‌طلبانه نیست، بلکه یک تهدید هدفمند، منسجم و مستمر است که منحصراً بر اکوسیستم مالیاتی هند متمرکز شده و از اسناد فریب دقیق، استنادات حقوقی واقعی و محتوای دوزبانه بهره می‌برد. تحلیل زیرساخت نشان می‌دهد آدرس‌های IP مورد استفاده متعلق به شبکه ChinaNet بوده و پنل مدیریت وب سرور فرمان و کنترل (C2) به زبان چینی است.

زنجیره حمله با ارسال پیوست‌های PDF حاوی لینک مخرب آغاز می‌شود که کاربران را به دانلود یک فایل ZIP ترغیب می‌کند؛ این فایل در ظاهر یک ابزار رسمی اظهارنامه مالیاتی است، اما در واقع یک کتابخانه DLL مخرب را بارگذاری جانبی (sideload) می‌کند. بدافزار پس از استقرار، با ایجاد یک سرویس ویندوزی به نام MixedSvc پایداری (persistence) خود را تضمین کرده، اسکن AMSI ویندوز را غیرفعال می‌سازد و اقدام به سرقت اطلاعات، گرفتن تصویر از صفحه‌نمایش و ارسال داده‌ها به سرور راه دور می‌کند. Seqrite همچنین همپوشانی‌های زیرساختی و تاکتیکی با گروه جرایم سایبری چینی Silver Fox را شناسایی کرده که پیش‌تر با کمپین‌های فیشینگ مالیاتی توزیع‌کننده ValleyRAT مرتبط بوده است.