Un attacco informatico in corso, attribuito al gruppo APT36, prende di mira operatori telecom afghani e infrastrutture critiche in Asia meridionale con il backdoor PATCHCORD, diffuso tramite falsi installer VPN e strumenti di gestione. La campagna mostra tecniche avanzate e un'evoluzione nelle strategie del gruppo.
Un nuovo attacco informatico, attribuito con moderata certezza al gruppo APT36 (noto anche come Transparent Tribe) vicino al Pakistan, sta colpendo operatori di telecomunicazioni afghani e infrastrutture critiche nel Sud Asia. Secondo l'Acronis Threat Research Unit (TRU), la campagna utilizza un backdoor mai documentato prima, denominato PATCHCORD, sviluppato in C/C++ e distribuito tramite esche settoriali come falsi installer VPN che imitano Afghan Telecom (AFTEL) e strumenti di gestione delle telecomunicazioni.
L'analisi delle infrastrutture degli attaccanti ha portato anche alla scoperta di un secondo malware, SHEETCORD, scritto in Go e progettato per comunicare con i server di comando e controllo (C2) tramite Google Sheets. Questo malware viene diffuso attraverso un dominio che imita il National Informatics Center (NIC) indiano.
Modalità di attacco e persistenza
L'attacco inizia con un archivio ZIP chiamato "Telecom_TMS.zip" che contiene un installer Inno Setup ("TMS_AfghanTelecom.exe"), usato per installare PATCHCORD. Questo programma, legato al sistema interno di gestione dei trasporti di Afghan Telecom, una società statale, consente agli attaccanti di ottenere il controllo del sistema infetto. Una volta eseguito, PATCHCORD nasconde la finestra della console, verifica i privilegi elevati, modifica i collegamenti dei browser (Google Chrome, Microsoft Edge, Mozilla Firefox) per garantirsi la persistenza e si registra presso il server C2 per ricevere comandi, tra cui l'esecuzione di shellcode, comandi arbitrari tramite "cmd.exe" e la gestione interattiva della persistenza tramite shortcut dei browser.
Se il malware viene avviato tramite un collegamento browser compromesso, apre il browser legittimo per non destare sospetti e continua a operare in background. Inoltre, controlla la presenza di una chiave di registro Windows specifica per evitare di infettare più volte lo stesso sistema e assicura la persistenza anche dopo il riavvio.
Nuove varianti e strumenti evoluti
L'infrastruttura degli attaccanti ha permesso di individuare una campagna parallela contro reti IT governative indiane, con un sito falso che replica il NIC per diffondere SHEETCORD. Questa variante combina funzioni di altri malware del gruppo, utilizza PowerShell per l'esecuzione remota di comandi, raccoglie informazioni di base sull'host, sfrutta la cartella di avvio di Windows per la persistenza tramite script Visual Basic e adotta la tecnica di hijacking dei collegamenti browser anche su Brave, Opera e Vivaldi. La comunicazione C2 avviene tramite API di Google Sheets.
PATCHCORD risulta attivo almeno da marzo 2026, con attacchi documentati anche contro il settore energetico indiano, dove sono state osservate tecniche anti-analisi e anti-debugging per eludere i controlli di sicurezza.
Strumenti e tecniche emergenti del gruppo APT36
Un server di staging esposto, collegato agli attaccanti, ha rivelato l'adozione di framework C2 open source come antnnium, GateSentinel e SuperShell, exploit per vulnerabilità come CVE-2024-6387, progetti malware assistiti da AI e file specifici per le campagne. Tra questi, HACKERAI C2 si distingue per l'uso di GitHub Gists come canale C2 e per funzionalità dedicate all'upload/download di dati e comandi.
Secondo Acronis, la campagna rappresenta un'evoluzione nelle operazioni di Transparent Tribe, che storicamente si concentrava su enti governativi, militari e diplomatici in India e Sud Asia, ma ora mostra un interesse operativo crescente verso i provider telecom afghani e le infrastrutture energetiche e difensive.
L'impiego di tre nuove famiglie malware e l'uso di Google Sheets e GitHub Gists per il comando e controllo evidenziano la continua evoluzione delle priorità e delle tecniche operative del gruppo.
