Backdoor PATCHCORD nhắm vào viễn thông Afghanistan và hạ tầng trọng yếu Nam Á
"Acronis TRU reported a new cyber-espionage campaign targeting Afghan telecom providers and South Asian critical infrastructure with a previously undocumented C/C++ backdoor called PATCHCORD, and a related Go-based backdoor dubbed SHEETCORD. The malware uses browser-shortcut hijacking and registry-based persistence, with C2 via a dedicated server, Google Sheets, or GitHub Gists; the article does not describe a patch or CVE remediation for the malware itself, though the actor infrastructure referenced exploits for CVE-2024-6387."
Đe dọa gián điệp mạng và duy trì hiện diện lâu dài trên máy nạn nhân; có thể thực thi lệnh từ xa và né tránh phát hiện thông qua cơ chế ẩn danh, persistence và C2 thay thế.
Có thể gây rò rỉ dữ liệu, gián đoạn vận hành và tăng chi phí ứng phó cho viễn thông, chính phủ và hạ tầng trọng yếu; rủi ro lan rộng nếu người dùng mở tệp cài đặt giả mạo.
Acronis TRU cho biết một chiến dịch gián điệp mạng đang nhắm vào các nhà cung cấp viễn thông Afghanistan và một số tổ chức hạ tầng trọng yếu tại Nam Á bằng một backdoor C/C++ chưa từng được công bố trước đây có tên PATCHCORD. Nhóm nghiên cứu cũng phát hiện biến thể Go khác là SHEETCORD, sử dụng Google Sheets làm kênh command-and-control (C2).
Mã độc được phát tán qua các tệp ZIP và bộ cài giả mạo, trong đó có công cụ nhái Afghan Telecom và website giả mạo NIC của Ấn Độ. Sau khi chạy, PATCHCORD ẩn cửa sổ console, thiết lập persistence bằng cách chiếm quyền shortcut trình duyệt, ghi vào Windows Registry, và có thể thực thi lệnh qua cmd.exe hoặc tải shellcode để chạy trong bộ nhớ.
Acronis đánh giá chiến dịch có liên quan đến APT36 / Transparent Tribe với mức tin cậy trung bình. Hạ tầng của tác nhân còn cho thấy việc dùng GitHub Gists, các framework C2 mã nguồn mở và tham chiếu tới CVE-2024-6387 trong hệ sinh thái tấn công.
Khuyến nghị: rà soát shortcut trình duyệt, kiểm tra các khóa Run trong Registry, giám sát lưu lượng tới Google Sheets/GitHub Gists, và tăng cường phát hiện phishing cùng tệp cài đặt giả mạo trong môi trường người dùng.