PATCHCORD: Die Kampagne, die eine Backdoor in Browsern versteckt und Google Sheets als C2 nutzt

Gefälschte Telekommunikationstools gegen strategische Ziele

Eine Cyberspionagekampagne nimmt afghanische Telekommunikationsanbieter und Organisationen aus dem Bereich kritischer Infrastrukturen in Südasien ins Visier. Die Aktivitäten wurden am 16. August 2026 öffentlich gemacht. Zum Einsatz kommen gefälschte VPN-Installer, Telekommunikationsmanagement-Software und Portale, die legitime Dienste imitieren.

Die wichtigste Malware ist PATCHCORD, eine in C/C++ entwickelte Backdoor für 64-Bit-Windows-Systeme. Die Angreifer erstellten speziell auf die betroffenen Branchen zugeschnittene Köder, darunter gefälschte Installer im Namen von Afghan Telecom (AFTEL) sowie Tools für Telekommunikationsanbieter.

In einem Fall ahmte das Programm den Unternehmensnamen, Produktfelder und sogar die URL des echten Supportportals nach. Nach dem Start führte der Installer die Malware aus und öffnete gleichzeitig eine normale Browsersitzung, um sichtbare Hinweise für den Benutzer zu reduzieren.

Zur Kampagne gehört außerdem eine Domain, die das Erscheinungsbild des indischen National Informatics Centre (NIC) nachahmt. Die genauen Versionen der Installer und der imitierten Produkte wurden nicht veröffentlicht.

Browser-Hijacking gewährleistet die Persistenz

PATCHCORD prüft zunächst, ob erhöhte Berechtigungen verfügbar sind. Anschließend sucht die Malware nach Verknüpfungen zum Start von Microsoft Edge, Google Chrome und Mozilla Firefox.

Die Originale werden gesichert und so verändert, dass bei jedem Start zunächst die Backdoor und anschließend der legitime Browser ausgeführt wird. Für den Benutzer bleibt das Verhalten scheinbar unverändert: Er klickt auf das gewohnte Symbol und sieht den Browser wie gewohnt, während der Schadcode im Hintergrund gestartet wird.

Diese Technik ermöglicht eine unauffällige Persistenz, ohne dass zwingend leicht erkennbare Dienste oder geplante Tasks angelegt werden müssen. Die Fernverwaltung dieser Konfiguration gehört zu den Funktionen der Backdoor.

Nach der Aktivierung kommuniziert PATCHCORD mit dem Command-and-Control-Server und ermöglicht unter anderem:

• das Ändern des Kommunikationsintervalls;
• das Auflisten laufender Prozesse;
• das direkte Ausführen von Shellcode im Speicher;
• das Ausführen beliebiger Befehle über eine versteckte Shell;
• das ferngesteuerte Ändern der browserbasierten Persistenz über Verknüpfungen.

Die Ausführung im Speicher kann weniger Spuren auf dem Datenträger hinterlassen und dadurch nachträgliche forensische Untersuchungen erschweren. Anomalien in Prozessen, Verknüpfungen und dem von den Endpunkten erzeugten Datenverkehr bleiben jedoch weiterhin erkennbar.

SHEETCORD verlagert das C2 zu Google

Die Analyse der Infrastruktur führte zur Identifizierung von SHEETCORD, einer zweiten in Go geschriebenen Malware. Der Code kombiniert Merkmale des bereits beobachteten SHEETCREEP RAT mit Funktionen von PATCHCORD und deutet damit auf eine schrittweise Weiterentwicklung der Tools des Operators hin.

Der wichtigste Unterschied betrifft den C2-Kanal. SHEETCORD verwendet keinen herkömmlichen Webserver, sondern die Google-Sheets-API. Für jedes Opfer wird ein separates Tabellenblatt innerhalb einer Arbeitsmappe eingerichtet. Das Dokument dient somit als Austauschpunkt für Befehle und Antworten.

Der Ansatz nutzt einen Cloud-Dienst, der in Unternehmensnetzwerken weit verbreitet ist. Eine pauschale Sperrung des Google-Datenverkehrs wäre daher möglicherweise nicht praktikabel. Gleichzeitig kann sich der schädliche Datenverkehr unter normalen geschäftlichen Aktivitäten verbergen.

SHEETCORD verfügt über eine Funktion zur Remote-Ausführung namens main.executeShellCommand, die der Funktion von PATCHCORD entspricht. Die Methode zum Starten der Befehle unterscheidet sich jedoch: Statt cmd.exe /c verwendet die Malware:

powershell -Command

Die Ausführung wird in einen Scriptblock eingebettet. Dadurch ähnelt sie stärker den üblichen Windows-Administrationswerkzeugen und spiegelt die technische Weiterentwicklung der Toolchain wider.

GitHub Gists und KI-gestützte Entwicklung

Eine dritte im Rahmen der Operation identifizierte Malware-Familie ist der HACKERAI C2 Agent, der GitHub Gists für Command and Control verwendet.

Im Code finden sich Debug-Meldungen, Kommentare mit Merkmalen, die mit von KI-Tools generiertem Code vereinbar sind, sowie redundante Implementierungen. Die Forscher entdeckten außerdem eine doppelte XOR-Routine, die denselben Schlüssel wiederverwendet.

Diese Elemente deuten auf eine zumindest teilweise Nutzung von Coding-Tools hin, die von Large Language Models unterstützt werden. Sie belegen jedoch keine vollständig autonome, von einem KI-System durchgeführte Operation. Die vermutete Rolle betrifft vor allem die Generierung oder Zusammensetzung des Codes, nicht die eigenständige Planung der Kampagne.

Die Nutzung legitimer Dienste wie Google Sheets und GitHub Gists erschwert Kontrollen, die ausschließlich auf der Reputation von Adressen oder der Sperrung von Domains beruhen. Die Erkennung muss daher auch den Kontext berücksichtigen: Welcher Prozess greift auf die API zu, von welchem Endpunkt und mit welcher Häufigkeit?

Ein Staging-Server legt das gesamte Toolkit offen

Die Untersuchung wurde durch die Entdeckung eines unzureichend geschützten, öffentlich zugänglichen Staging-Servers erleichtert. Das System enthielt zahlreiche Komponenten des operativen Arsenals, darunter SuperShell, ein chinesischsprachiges C2-Framework, mehrere Remote-Access-Trojaner und Tools zum Diebstahl von Zugangsdaten.

Außerdem fanden sich Exploits für eine bekannte OpenSSH-Schwachstelle sowie Dateien, die offenbar mit einer Datenbank zur Anrufhistorie von iOS-Geräten kompatibel waren. Dieser Fund lässt Aktivitäten zur Beschaffung mobiler Daten möglich erscheinen, beweist jedoch nicht, dass diese Informationen tatsächlich gestohlen wurden.

Die Infrastruktur war zum Zeitpunkt der Veröffentlichung noch aktiv. Die Domains wechselten regelmäßig, während der zugrunde liegende Server über Monate unverändert blieb. Domains, IP-Adressen, Hashes oder andere konkrete technische Indikatoren wurden nicht veröffentlicht.

Die Zuordnung zu APT36, auch bekannt als Transparent Tribe, gilt als moderat belastbar. Zu den übereinstimmenden Merkmalen zählen Credential-Harvesting-Tools, die bereits mit bestätigten Kampagnen in Verbindung gebracht wurden, ein separat derselben Gruppe zugeschriebenes C2-Framework sowie die Nutzung von Google Sheets bei einer früheren, mit APT36 verbundenen Aktivität.

Kein einzelnes Indiz gilt als schlüssig. Die Gesamtheit der Merkmale steht jedoch im Einklang mit einer Gruppe, die bereits Regierungs- und Verteidigungsorganisationen in Indien angegriffen hat.

Auswirkungen und erforderliche Kontrollen

Zu den potenziellen Zielen gehören afghanische Telekommunikationsanbieter, regionale kritische Infrastrukturen, Regierungsstellen, Verteidigungsorganisationen und Energieinfrastrukturen in Südasien.

Die beobachteten Funktionen ermöglichen die Ausführung von Befehlen, die Aufklärung laufender Prozesse, die Persistenz über Browser sowie die Nutzung normalerweise autorisierter Cloud-Dienste. Dadurch sind Daten, Zugangsdaten und interne Systeme gefährdet, mit möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Organisationen sollten:

• VPN-Installer und Telekommunikationstools überprüfen, auch wenn Branding, Namen und URLs authentisch wirken;
• die Verknüpfungen von Edge, Chrome und Firefox mit bekannten vertrauenswürdigen Versionen vergleichen;
• ungewöhnliche Sicherungskopien oder zusätzliche Parameter in den Zielen der Verknüpfungen suchen;
• PowerShell mit -Command sowie Scriptblöcke überwachen, die von unerwarteten Prozessen gestartet werden;
• Zugriffe auf die APIs von Google Sheets und GitHub Gists durch Endpunkte analysieren, die diese Dienste normalerweise nicht verwenden;
• im Speicher ausgeführten Shellcode und ungewöhnliche Browser-Kinderprozesse erkennen;
• Verbindungen zu neu registrierten oder häufig wechselnden Domains überprüfen;
• verdächtige Hosts isolieren und vor der Bereinigung den flüchtigen Speicher sichern;
• potenziell offengelegte Zugangsdaten rotieren und Zugriffe auf Cloud-, Telekommunikations- und Regierungssysteme überprüfen.

Für PATCHCORD, SHEETCORD oder den HACKERAI C2 Agent wurden keine spezifischen Patches oder Bereinigungstools genannt. Die Sensibilisierung der Mitarbeiter sollte außerdem speziell zugeschnittene Köder für einzelne Branchen abdecken und sich nicht nur auf offensichtlich verdächtige Links konzentrieren.

Separate Einordnung von CVE-2026-58231

Die Schwachstelle CVE-2026-58231 betrifft SAP Commerce Cloud und steht weder mit der PATCHCORD-Kampagne noch mit APT36 in Verbindung.

Die Schwachstelle hat einen CVSS-Score von 10 und folgenden Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Sie ist als CWE-94 klassifiziert. Ein nicht authentifizierter Angreifer kann einen standardmäßig eingerichteten Authentifizierungsclient missbrauchen und speziell präparierte Eingaben an Funktionen ohne ausreichende Validierung senden. Dies kann zur beliebigen Codeausführung und zur Kompromittierung interner Anwendungskomponenten führen.

Die betroffenen Versionen wurden nicht bekannt gegeben. Es ist außerdem nicht angegeben, ob CVE-2026-58231 im CISA-KEV-Katalog enthalten ist; eine entsprechende Frist für Abhilfemaßnahmen wurde ebenfalls nicht veröffentlicht.