Una nuova campagna di cyber spionaggio sta prendendo di mira operatori di telecomunicazioni in Afghanistan e organizzazioni di infrastrutture critiche in Asia meridionale attraverso un backdoor finora sconosciuto chiamato PATCHCORD. La minaccia viene distribuita con esche mirate al settore, tra cui falsi installer VPN e strumenti di gestione telecom che imitano software legittimi.
In un caso osservato, il punto di ingresso è un archivio ZIP che contiene un installer Inno Setup mascherato da applicazione interna di gestione trasporti, usata in ambito telecom per tracciare richieste logistiche aziendali.
Dopo l’esecuzione, PATCHCORD nasconde la finestra console, raccoglie informazioni sul sistema e tenta di ottenere persistenza in modo discreto. Una tecnica centrale consiste nel dirottare collegamenti del browser, intervenendo su scorciatoie associate a Chrome, Edge e Firefox quando il processo dispone di privilegi elevati. Il malware mantiene l’esperienza utente avviando comunque il browser reale, mentre continua a operare in background. Per garantire persistenza tra i riavvii, scrive un valore nel Registro di Windows in un percorso di esecuzione automatica e verifica se un indicatore specifico è già presente, segnale che il dispositivo potrebbe essere già compromesso.
La comunicazione con il server di comando e controllo consente di regolare l’intervallo di beacon, enumerare i processi in esecuzione, eseguire comandi arbitrari tramite cmd e decodificare e decrittare shellcode ricevuto da remoto per l’esecuzione in memoria. Questa capacità aumenta la flessibilità operativa e riduce le tracce su disco, rendendo più complessa la rilevazione.
L’analisi dell’infrastruttura della campagna ha portato anche all’individuazione di un secondo backdoor chiamato SHEETCORD, scritto in Go, che utilizza Google Sheets come canale di comando e controllo. In questo filone, la distribuzione avviene tramite un dominio che imita un ente governativo indiano, con un impianto che combina elementi già visti in tool simili e funzionalità allineate a PATCHCORD. SHEETCORD esegue comandi remoti via PowerShell, raccoglie informazioni di base sull’host e imposta persistenza tramite la cartella di avvio di Windows usando uno script Visual Basic, includendo anche il dirottamento delle scorciatoie per altri browser come Brave, Opera e Vivaldi.
Le osservazioni indicano un uso attivo di PATCHCORD almeno da marzo 2026, con varianti dotate di tecniche anti-analisi e anti-debug in attacchi contro il settore energetico. Un server di staging esposto ha inoltre rivelato un arsenale in evoluzione con framework C2 open source, exploit noti e progetti che sfruttano servizi legittimi come GitHub Gists per il comando e controllo e per funzioni di upload e download dedicate all’esfiltrazione dati.