PatchCord e SheetCord colpiscono telecom afghane e infrastrutture dell’Asia meridionale

🛡️ Executive Summary

• PatchCord usa falsi installer Afghan Telecom per ottenere persistenza Windows, controllare host compromessi ed eseguire payload aggiuntivi.
• SheetCord estende la campagna contro obiettivi indiani abusando di Google Sheets per il comando e controllo e impersonando il National Informatics Centre.
• Acronis collega con confidenza moderata l’attività ad APT36 o a un attore Pakistan-linked correlato, senza formulare un’attribuzione definitiva.

PatchCord è il nuovo impianto Windows individuato da Acronis Threat Research Unit in una campagna di cyberspionaggio contro operatori telecom afghani e organizzazioni governative, della difesa e dell’energia nell’Asia meridionale. L’indagine ha successivamente portato alla scoperta di SheetCord, backdoor scritta in Go che utilizza Google Sheets come canale C2, e di un terzo componente denominato HackerAI C2 Agent. L’infrastruttura impiega falsi portali di Afghan Telecom, esche dedicate al Ministero delle Comunicazioni afghano e domini che imitano il National Informatics Centre indiano. Acronis valuta con confidenza moderata una sovrapposizione con APT36, noto anche come Transparent Tribe, o con un attore Pakistan-linked strettamente correlato.

PatchCord si nasconde dentro falsi software Afghan Telecom

La campagna è emersa nel giugno 2026 attraverso un archivio denominato Telecom_TMS, contenente un installer Inno Setup chiamato TMS_AfghanTelecom.exe. Metadata, nome del prodotto e riferimenti Web riproducono quelli di Afghan Telecom, compreso il portale legittimo utilizzato dall’operatore per la gestione delle richieste tecniche. L’installer estrae TMS_Launcher.exe, backdoor C/C++ a 64 bit che Acronis ha battezzato PatchCord.

Dopo l’avvio, il malware nasconde la console, raccoglie informazioni sul sistema, registra il dispositivo sul server C2 e crea persistenza modificando i collegamenti di Microsoft Edge, Google Chrome e Mozilla Firefox. Il collegamento originale viene salvato come backup, mentre quello visibile all’utente viene modificato per eseguire prima PatchCord e poi aprire normalmente il browser. Il comportamento permette al malware di riattivarsi ogni volta che la vittima avvia l’applicazione senza produrre differenze evidenti nell’esperienza d’uso. Il targeting afghano si inserisce in una superficie già colpita da gruppi regionali: la precedente operazione XenoFiscal contro il Ministero delle Finanze afghano aveva mostrato come istituzioni e infrastrutture del Paese siano diventate bersagli persistenti delle operazioni di spionaggio dell’Asia meridionale.

SheetCord usa Google Sheets come infrastruttura di comando

L’analisi dell’infrastruttura ha portato a un secondo impianto, SheetCord, distribuito attraverso nic-support[.]site, dominio costruito per impersonare il National Informatics Centre, organismo che gestisce numerosi servizi informatici della pubblica amministrazione indiana. L’esca viene presentata come un aggiornamento destinato ai dipendenti del Ministero della Difesa e utilizza nuovamente un installer Inno Setup. SheetCord è scritto in Go e sfrutta Google Sheets per il comando e controllo: le credenziali di un account di servizio Google Cloud sono incorporate nel malware e ogni vittima può ricevere uno spazio dedicato all’interno del foglio utilizzato dagli operatori per trasmettere comandi e recuperare risultati. L’abuso dei servizi cloud legittimi rende più complessa la separazione tra traffico normale e comunicazioni dell’attaccante. È un modello vicino a quello già utilizzato nello spionaggio APT36 contro il governo indiano con GoGitter e GitHub come infrastruttura C2, dove servizi pubblicamente affidabili sostituiscono almeno in parte i tradizionali server criminali.

Il cluster contiene strumenti per credenziali e regreSSHion

Un errore operativo degli attaccanti ha esposto un server di staging contenente una quantità significativa di strumenti. Acronis vi ha trovato SuperShell, diversi framework RAT, software per la raccolta delle credenziali e tooling destinato allo sfruttamento di CVE-2024-6387, regreSSHion, la vulnerabilità di OpenSSH che può portare a esecuzione di codice remoto in determinate configurazioni. La presenza dell’exploit non dimostra che sia stato utilizzato contro ogni vittima osservata, ma suggerisce un interesse per l’accesso anche all’infrastruttura di rete e ai servizi Linux delle organizzazioni bersaglio. PatchCord dispone inoltre della capacità di eseguire comandi arbitrari e payload in memoria, consentendo agli operatori di estendere l’attacco dopo l’accesso iniziale. La combinazione tra malware Windows, strumenti per Linux e raccolta delle credenziali è coerente con la progressiva espansione di APT36 verso sistemi Windows e Linux attraverso GETA RAT, ARES RAT e Desk RAT, dove l’obiettivo non è più vincolato a un singolo endpoint ma all’intera infrastruttura raggiungibile dopo la compromissione.

Le esche seguono telecomunicazioni, governo, difesa ed energia

Il pivot sull’infrastruttura ha individuato domini e file costruiti specificamente attorno ai settori presi di mira. Tra gli artefatti compaiono falsi installer AFTEL VPN, archivi dedicati a Salaam Telecom, materiale che imita il Ministero delle Comunicazioni e dell’Information Technology afghano e payload collegati a organizzazioni indiane.

Il cluster raggiunge quindi telecomunicazioni, governo, difesa ed energia, settori nei quali l’accesso a un singolo endpoint può offrire informazioni sulle comunicazioni, infrastrutture interne e relazioni istituzionali. L’interesse per l’India è coerente con la lunga attività del gruppo, compreso l’uso di malware LNK multi-stadio contro enti governativi indiani e la successiva campagna Vibeware Nightmare basata su malware polimorfo e sviluppo assistito dall’intelligenza artificiale.

Acronis rileva inoltre nel codice di alcuni impianti commenti, messaggi di debug e pattern compatibili con sviluppo assistito da LLM, pur precisando che questi elementi, isolatamente, non costituiscono una prova definitiva dell’utilizzo dell’AI.

Acronis collega la campagna ad APT36 con confidenza moderata

L’analisi completa di Acronis TRU attribuisce con moderate confidence l’attività ad APT36/Transparent Tribe oppure a un attore Pakistan-linked strettamente connesso. La valutazione deriva dalla convergenza di diversi elementi: targeting persistente contro Afghanistan e India, utilizzo di strumenti già comparsi nell’ecosistema APT36, presenza di HackBrowserData e GateSentinel sul server degli operatori e soprattutto il ricorso a Google Sheets come C2, tecnica vicina alla precedente campagna SheetCreep. Nessuno di questi indicatori consente però da solo un’attribuzione definitiva e Acronis mantiene quindi una formulazione prudente. L’elemento più significativo resta l’evoluzione operativa: PatchCord, SheetCord e HackerAI C2 Agent mostrano un cluster che combina malware proprietario, servizi cloud legittimi, phishing settoriale e toolkit offensivi pubblici. Le telecomunicazioni afghane diventano in questo quadro un obiettivo particolarmente prezioso perché possono offrire accesso non soltanto ai sistemi di un singolo operatore, ma alle comunicazioni e alle relazioni di un’intera rete di utenti istituzionali.