L’Acronis Threat Research Unit (TRU) ha individuato una campagna in corso che diffonde una backdoor personalizzata, finora non documentata, ai danni di operatori di telecomunicazioni afghani e di organizzazioni che gestiscono infrastrutture critiche nell’Asia meridionale. La backdoor, denominata PATCHCORD, è un malware sviluppato in C/C++ e distribuito tramite tecniche di inganno specifiche per il settore, tra cui falsi programmi di installazione di VPN che si spacciano per Afghan Telecom (AFTEL) e strumenti di gestione delle telecomunicazioni.
Quali le novità di questa ricerca?
TRU ha scoperto tre famiglie di malware finora non documentate, PATCHCORD, SHEETCORD e HACKERAI C2 Agent, che operano dalla stessa infrastruttura. La ricerca documenta inoltre l’uso improprio di Google Sheets e GitHub Gists per il comando e il controllo, nonché un server di staging esposto che ha rivelato gli strumenti utilizzati dall’operatore e ulteriori campagne.
Perché questa operazione è importante?
Questo tipo di attività dimostra un’operazione di spionaggio in continua evoluzione che prende di mira settori strategici in tutto l’Asia meridionale. L’infrastruttura scoperta ha fornito una visibilità rara sul malware, sugli strumenti, sulle esche di phishing e sull’infrastruttura dell’operatore, consentendo a TRU di identificare ulteriori campagne e mappare un ecosistema di minacce più ampio.
Chi c’è dietro questa attività?
TRU ritiene, con moderata certezza, che l’attività sia collegata al cluster APT36 (Transparent Tribe) o a un attore malintenzionato strettamente correlato e legato al Pakistan, sulla base del target, delle somiglianze nel malware, dell’infrastruttura condivisa e delle tecniche operative.
