April 2026 Cyber Espionage Alert: China-Linked TA416 Targets European Governments

한국어 요약: 2026년 4월 5일 보안 보고서에 따르면, 중국과 연계된 위협 액터 TA416(DarkPeony, RedDelta 등으로도 알려짐)이 2년간의 침묵을 깨고 유럽 정부 및 외교 조직을 겨냥한 대규모 스파이 캠페인을 재개했습니다. 이들은 맞춤형 PlugX 멀웨어와 진화된 피싱 기법을 사용하고 있습니다.

주요 보안 위협

• TA416의 회귀: 2025년 중반부터 EU 및 NATO 회원국 외교 공관을 대상으로 여러 차례의 멀웨어 유포 캠페인이 탐지되었습니다.
• 고도화된 침투 기법: Cloudflare Turnstile 챌린지 페이지 악용, OAuth 리다이렉트 조작, C# 프로젝트 파일을 활용한 감염 경로 다변화를 통해 탐지를 우회하고 있습니다.
• PlugX 멀웨어 업데이트: 실시간으로 업데이트되는 커스텀 PlugX 페이로드를 통해 중동 및 유럽 지역의 민감한 정보를 탈취하고 있는 것으로 나타났습니다.

日本語要約: 2026年4月5日のセキュリティ報告によると、中国に関連する脅威アクターTA416（DarkPeony、RedDeltaとしても知られる）が、欧州の政府および外交機関を標としたサイバースパイ活動を本格化させています。最新のPlugXマルウェアと巧妙なフィッシング手法が確認されています。

主なセキュリティ脅威

• TA416の活動再開: 2025年半ば以降、EUおよびNATO加盟国の外交使節団を狙った複数のマルウェア配信キャンペーンが実行されています。
• 回避技術の進化: Cloudflare Turnstileの悪用やOAuthリダイレクトの操作、C#プロジェクトファイルの利用など、従来の検知を回避する高度な手法が導入されています。
• PlugXのカスタマイズ: 継続的にアップデートされるPlugXペイロードを使用し、中東および欧州の外交・政府機関から機密情報を窃取しています。

English Summary: As of April 5, 2026, the China-aligned threat actor TA416 is targeting European government and diplomatic organizations with sophisticated cyber espionage campaigns. Utilizing updated PlugX malware and evolved phishing chains, they represent a significant threat to international security.

Critical Threat Intelligence

• Resurgence of TA416: After a period of relative inactivity in the region, TA416 (linked to RedDelta/DarkPeony) has launched waves of attacks against EU and NATO missions.
• Advanced Infection Chains: The group is abusing Cloudflare Turnstile pages, OAuth redirects, and C# project files to bypass security controls and deliver custom payloads.
• Custom PlugX Payloads: Frequent updates to their signature PlugX malware allow for persistent access and data exfiltration from high-value government targets.

Links / References:

• The Hacker News - China-Linked TA416 Targets European Governments
• Proofpoint Research - TA416 Infection Chain Analysis
• Microsoft Security Bulletin - PHP Web Shell Persistence via Cron