Provedores de telecomunicações afegãos e organizações de infraestrutura crítica no sul da Ásia passaram a ser alvo de uma nova campanha em andamento que distribui uma backdoor até então não documentada, chamada PATCHCORD.
Segundo a Acronis Threat Research Unit (TRU), a backdoor é um implant compilado em C/C++ entregue por meio de iscas específicas do setor, incluindo instaladores falsos de VPN que se passam pela Afghan Telecom (AFTEL) e ferramentas de gestão de telecomunicações.
A análise da infraestrutura do threat actor também levou à descoberta de outra backdoor baseada em Go, batizada de SHEETCORD, que usa o Google Sheets para comunicações de comando e controle (C2). O malware foi identificado em uma campanha distribuída por meio de um domínio que imita o National Informatics Center da Índia (NIC).
“A infraestrutura da campanha gira em torno de um único servidor de C2 com vários domínios associados, incluindo domínios que se passam por operadoras de telecomunicações afegãs e um domínio legítimo de saúde sequestrado”, disseram os pesquisadores Darrel Virtusio, Santiago Pontiroli e Subhajeet Singha em relatório.
A atividade é atribuída com confiança moderada a um threat actor alinhado ao Paquistão, conhecido como APT36, também chamado de Transparent Tribe, com base em sobreposições nos padrões de alvo, semelhanças entre os malwares, infraestrutura compartilhada e técnicas operacionais.
O ponto de partida é um arquivo ZIP chamado “Telecom_TMS.zip”, que contém um instalador do Inno Setup, “TMS_AfghanTelecom.exe”, responsável por entregar o PATCHCORD. TMS é a sigla para Transport Management System, um sistema interno usado pela Afghan Telecom, empresa estatal de telecomunicações, para acompanhar veículos corporativos e solicitações de transporte.
Após a execução, a backdoor oculta sua janela de console, cria persistência sequestrando atalhos do navegador associados ao Google Chrome, Microsoft Edge e Mozilla Firefox depois de verificar se está sendo executada com privilégios elevados, faz a identificação da máquina e se registra com seu servidor de C2, “46.30.188[.]13”, para receber comandos que permitem:
• ajustar o intervalo de comunicação com o C2
• enumerar todos os processos em execução
• decodificar e descriptografar um payload de shellcode recebido do servidor de C2 e executá-lo na memória
• executar comandos arbitrários via “cmd.exe”
• oferecer controle interativo sobre o mecanismo de persistência baseado no sequestro de atalhos do navegador
“Quando é iniciado por meio de um atalho de navegador sequestrado, ele abre de forma transparente o navegador legítimo antes de continuar a execução em segundo plano, preservando a experiência esperada do usuário enquanto mantém a persistência”, afirmou a Acronis. “Caso contrário, ele segue diretamente para sua funcionalidade principal.”
O implant também verifica um valor do Registro do Windows chamado “BeaconBrowserHijack” em “HKCU\Software\Microsoft\Windows\CurrentVersion\Run”. Se o valor já existir, ele ignora o processo de sequestro de atalhos, assumindo que o sistema já foi comprometido.
Se esse não for o caso, o malware grava o próprio caminho do executável em uma chave do Registro do Windows e estabelece persistência entre reinicializações para acionar a rotina de sequestro de atalhos do navegador sempre que o usuário atual fizer login no Windows.
Uma nova análise da infraestrutura do threat actor revelou ainda uma campanha direcionada a redes de TI do governo indiano, incluindo um site falso que imita o NIC, “nic-support[.]site”, para distribuir o SHEETCORD, que combina funcionalidades presentes no SHEETCREEP com recursos incorporados no PATCHCORD.
A backdoor implementa execução remota de comandos por meio do PowerShell, em vez de “cmd.exe”, coleta informações básicas do sistema, usa a pasta de Inicialização do Windows para estabelecer persistência por meio de um Script do Visual Basic, incorpora o mecanismo de sequestro de atalhos do navegador do PATCHCORD para também atingir Brave, Opera e Vivaldi, e usa a API do Google Sheets para o C2.
Segundo a Acronis, o PATCHCORD vem sendo usado pelo threat actor desde pelo menos março de 2026, com um dos ataques voltado ao setor de energia da Índia, usando uma variante da backdoor com técnicas de antianálise e antidepuração para evitar a detecção.
Além disso, um servidor de preparação exposto, ligado ao threat actor, revelou pistas sobre seu arsenal ofensivo em evolução, incluindo frameworks de C2 de código aberto como antnium, GateSentinel e SuperShell, exploits para CVE-2024-6387, projetos de malware com apoio de IA e arquivos específicos de campanha.
Um desses projetos assistidos por IA é o HACKERAI C2, que tem sobreposições com PATCHCORD e SHEETCORD, mas usa Gists do GitHub para C2 e implementa funcionalidades dedicadas de upload e download tanto para tarefas quanto para exfiltração de dados.
“A campanha reflete a evolução das operações recentes do Transparent Tribe”, afirmou a Acronis. “Embora o grupo historicamente tenha se concentrado em organizações governamentais, militares e diplomáticas na Índia e na região mais ampla do sul da Ásia, a investigação identificou um foco operacional mais forte em provedores de telecomunicações afegãos, além de organizações governamentais, de defesa e de energia.”
“Somado a três famílias de malware anteriormente não documentadas e ao uso do Google Sheets e dos Gists do GitHub para C2, o conjunto demonstra evolução contínua tanto nas prioridades de alvo quanto nas técnicas operacionais do grupo.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...