El grupo APT36, vinculado a Pakistán, ha lanzado una campaña de ciberataques contra proveedores de telecomunicaciones en Afganistán e infraestructura crítica en el sur de Asia. Utilizan los malwares PATCHCORD y SHEETCORD, distribuidos mediante instaladores falsos de VPN y sitios gubernamentales suplantados. Estas herramientas permiten el control remoto de sistemas, el robo de datos y el uso de Google Sheets y GitHub para coordinar sus ataques.







Los proveedores de telecomunicaciones afganos y las organizaciones de infraestructura crítica del sur de Asia se han convertido en el objetivo de una nueva campaña en curso que despliega una puerta trasera previamente no documentada llamada PATCHCORD.

Según la Unidad de Investigación de Amenazas (TRU) de Acronis, la puerta trasera es un implante compilado en C/C++ distribuido mediante señuelos específicos del sector, incluyendo instaladores de VPN falsos que suplantan a Afghan Telecom (AFTEL) y herramientas de gestión de telecomunicaciones.

Un análisis de la infraestructura del actor de amenazas también ha llevado al descubrimiento de otra puerta trasera basada en Go denominada SHEETCORD que utiliza Google Sheets para las comunicaciones de comando y control (C2). Se ha descubierto que el malware se distribuye a través de un dominio que suplanta al Centro Nacional de Informática (NIC) de la India.

"La infraestructura de la campaña se centra en un único servidor C2 con múltiples dominios asociados, incluidos dominios que suplantan a operadores de telecomunicaciones afganos y un dominio sanitario legítimo secuestrado", afirmaron los investigadores Darrel Virtusio, Santiago Pontiroli y Subhajeet Singha en un informe.

Se evalúa con moderada confianza que la actividad sea obra de un actor de amenazas alineado con Pakistán conocido como APT36 (también conocido como Transparent Tribe), citando coincidencias en los patrones de objetivos, similitudes en el malware, infraestructura compartida y tácticas operativas.

El funcionamiento del ataque

El punto de partida es un archivo ZIP llamado "Telecom_TMS.zip" que contiene un instalador de Inno Setup ("TMS_AfghanTelecom.exe") responsable de entregar PATCHCORD. TMS es la abreviatura de Transport Management System, un sistema interno utilizado por Afghan Telecom, una empresa de telecomunicaciones estatal, para rastrear las solicitudes de transporte y vehículos corporativos.

Al ejecutarse, la puerta trasera oculta su ventana de consola, establece la persistencia secuestrando accesos directos del navegador asociados con Google Chrome, Microsoft Edge y Mozilla Firefox tras comprobar que se ejecuta con privilegios elevados, identifica el host y se registra en su servidor C2 ("46.30.188[.]13") para recibir comandos que le permiten:

* Ajustar el intervalo de baliza (beacon) del C2
* Enumerar todos los procesos en ejecución
* Decodificar y descifrar una carga útil de shellcode recibida del servidor C2 y ejecutarla en memoria
* Ejecutar comandos arbitrarios a través de "cmd.exe"
* Proporcionar control interactivo sobre el mecanismo de persistencia de secuestro de accesos directos del navegador

"Cuando se lanza a través de un acceso directo del navegador secuestrado, inicia transparentemente el navegador legítimo antes de continuar la ejecución en segundo plano, preservando la experiencia esperada del usuario mientras mantiene la persistencia", dijo Acronis. "De lo contrario, procede directamente a su funcionalidad principal".

El implante también comprueba un valor del Registro de Windows llamado "BeaconBrowserHijack" bajo "HKCU\Software\Microsoft\Windows\CurrentVersion\Run". Si el valor ya existe, omite el proceso de secuestro del acceso directo, asumiendo que el sistema ya ha sido comprometido.

Si este no fuera el caso, escribe su propia ruta ejecutable en la clave del Registro de Windows y establece la persistencia en los reinicios para activar la rutina de secuestro de accesos directos cada vez que el usuario actual inicie sesión en Windows.

Un examen más detallado de la infraestructura del actor de amenazas ha descubierto una campaña dirigida a las redes informáticas del gobierno indio, incluido un sitio web falso que imita al NIC ("nic-support[.]site") para desplegar SHEETCORD, que combina funcionalidades presentes en SHEETCREEP con las incorporadas en PATCHCORD.

La puerta trasera implementa una capacidad de ejecución de comandos remotos a través de PowerShell en lugar de "cmd.exe", recopila información básica del host y utiliza la carpeta de Inicio de Windows para establecer la persistencia mediante un script de Visual Basic, integra el mecanismo de secuestro de accesos directos de PATCHCORD para atacar también a Brave, Opera y Vivaldi, y utiliza la API de Google Sheets para el C2.

Evolución y herramientas

Se dice que PATCHCORD ha sido utilizado por el actor de amenazas al menos desde marzo de 2026, con un ataque dirigido al sector energético de la India mediante una variante de la puerta trasera que incluye técnicas de anti-análisis y anti-depuración para evadir la detección.

Además, un servidor de preparación expuesto vinculado al actor de amenazas ha ofrecido pistas sobre su evolución en el kit de herramientas ofensivas, incluyendo marcos de C2 de código abierto como antnium, GateSentinel y SuperShell, exploits para CVE-2024-6387, proyectos de malware asistidos por IA y archivos específicos de la campaña.

Uno de esos proyectos asistidos por IA es HACKERAI C2, que coincide con PATCHCORD y SHEETCORD pero utiliza GitHub Gists para el C2 e implementa una funcionalidad dedicada de carga y descarga tanto para tareas como para la exfiltración de datos.

"La campaña refleja una evolución de las operaciones recientes de Transparent Tribe", afirmó Acronis. "Si bien el grupo se ha centrado históricamente en organizaciones gubernamentales, militares y diplomáticas en la India y la región más amplia del sur de Asia, nuestra investigación identificó un enfoque operativo más fuerte en los proveedores de telecomunicaciones afganos junto con organizaciones gubernamentales, de defensa y energía".

"Combinado con tres familias de malware previamente no documentadas y el uso de Google Sheets y GitHub Gists para el C2, la campaña demuestra una evolución continua tanto en las prioridades de objetivos del grupo como en su pericia operativa".

Fuente:
THN