PATCHCORD, la campaña que oculta una puerta trasera en los navegadores y utiliza Google Sheets como C2

Falsas herramientas de telecomunicaciones contra objetivos estratégicos

Una campaña de ciberespionaje tiene como objetivo a operadores de telecomunicaciones afganos y organizaciones vinculadas a infraestructuras críticas del sur de Asia. La actividad se hizo pública el 16 de agosto de 2026 y utiliza instaladores VPN falsificados, software de gestión de telecomunicaciones y portales diseñados para imitar servicios legítimos.

El malware principal es PATCHCORD, una puerta trasera desarrollada en C/C++ para sistemas Windows de 64 bits. Los atacantes han creado señuelos muy específicos para los sectores afectados, incluidos instaladores falsos asociados a Afghan Telecom (AFTEL) y herramientas destinadas a operadores de telecomunicaciones.

En un caso, el programa reproducía el nombre de la empresa, los campos del producto e incluso la URL del portal de soporte auténtico. Después de iniciarse, el instalador ejecutaba el malware y abría simultáneamente una sesión normal del navegador, reduciendo así las señales visibles para el usuario.

La campaña también incluye un dominio que replica la identidad del National Informatics Centre (NIC) de la India. No se han divulgado las versiones exactas de los instaladores ni de los productos imitados.

El secuestro del navegador garantiza la persistencia

PATCHCORD comprueba primero la disponibilidad de privilegios elevados. Después busca los accesos directos utilizados para iniciar Microsoft Edge, Google Chrome y Mozilla Firefox.

El malware conserva los originales y modifica los accesos directos para que, cada vez que se abran, ejecuten primero la puerta trasera y después el navegador legítimo. Para el usuario, el comportamiento aparente no cambia: hace clic en el icono habitual y ve el navegador con normalidad, mientras el código malicioso se ejecuta en segundo plano.

Esta técnica proporciona al atacante una persistencia poco visible y no depende necesariamente de añadir servicios o tareas programadas fáciles de detectar. La gestión remota de esta configuración forma parte de las funciones ofrecidas por la puerta trasera.

Una vez activo, PATCHCORD se comunica con el servidor de mando y control y permite, al menos:

• modificar el intervalo entre comunicaciones;
• enumerar los procesos en ejecución;
• ejecutar shellcode directamente en memoria;
• lanzar comandos arbitrarios mediante un shell oculto;
• modificar de forma remota la persistencia basada en los accesos directos de los navegadores.

La ejecución en memoria puede dejar menos rastros en el disco, lo que complica las investigaciones forenses posteriores. Sin embargo, no elimina la posibilidad de detectar anomalías en los procesos, los accesos directos y el tráfico generado por los endpoints.

SHEETCORD traslada el mando y control a Google

El análisis de la infraestructura permitió identificar SHEETCORD, un segundo malware escrito en Go. El código combina características observadas anteriormente en SHEETCREEP RAT con capacidades presentes en PATCHCORD, lo que sugiere una evolución progresiva de las herramientas del operador.

La diferencia más relevante afecta al canal C2. SHEETCORD no utiliza un servidor web tradicional, sino la API de Google Sheets. Para cada víctima se prepara una hoja independiente dentro de una hoja de cálculo; el documento se convierte así en el punto de intercambio de comandos y respuestas.

Este enfoque aprovecha un servicio en la nube habitual en las redes corporativas. Por ello, bloquear de forma genérica el tráfico hacia Google puede resultar inviable, mientras que el tráfico malicioso puede confundirse con la actividad operativa normal.

SHEETCORD conserva una función de ejecución remota denominada main.executeShellCommand, análoga a la de PATCHCORD. Sin embargo, cambia el método utilizado para iniciar los comandos: en lugar de cmd.exe /c, el malware emplea:

powershell -Command

La ejecución se encapsula en un bloque de script, un cambio que aumenta la similitud con las herramientas administrativas normales de Windows y refleja la evolución técnica de la cadena de herramientas.

GitHub Gists y desarrollo asistido por IA

Una tercera familia identificada en la operación es HACKERAI C2 Agent, que utiliza los GitHub Gists para el mando y control.

En el código permanecen mensajes de depuración, comentarios con características compatibles con código generado por herramientas de inteligencia artificial e implementaciones redundantes. Los investigadores también detectaron una rutina XOR duplicada que reutiliza la misma clave.

Estos elementos apuntan a un uso al menos parcial de herramientas de programación asistida por modelos lingüísticos. Sin embargo, no indican que la operación haya sido dirigida de forma autónoma por un sistema de IA. El papel hipotético se relaciona principalmente con la generación o el ensamblaje del código, no con la planificación independiente de la campaña.

El uso de servicios legítimos como Google Sheets y GitHub Gists dificulta los controles basados únicamente en la reputación de las direcciones o en el bloqueo de dominios. Por tanto, la detección también debe considerar el contexto: qué proceso accede a la API, desde qué endpoint y con qué frecuencia.

Un servidor de staging expone todo el arsenal

La investigación se vio facilitada por el descubrimiento de un servidor de staging accesible sin las protecciones adecuadas. El sistema contenía numerosos componentes del arsenal operativo, entre ellos SuperShell, un framework C2 en chino, varios troyanos de acceso remoto y herramientas para robar credenciales.

También había exploits para una vulnerabilidad conocida de OpenSSH y archivos aparentemente compatibles con una base de datos del historial de llamadas de dispositivos iOS. Este último hallazgo deja abierta la posibilidad de actividades destinadas a adquirir datos móviles, pero por sí solo no demuestra que dicha información fuera efectivamente sustraída.

La infraestructura seguía activa en el momento de la publicación. Los dominios cambiaban con regularidad, mientras que el servidor subyacente permanecía sin cambios durante meses. No se han publicado dominios, direcciones IP, hashes ni otros indicadores técnicos concretos.

La atribución a APT36, también conocido como Transparent Tribe, mantiene una confianza moderada. Entre los elementos compatibles se encuentran herramientas de recopilación de credenciales ya asociadas a campañas confirmadas, un framework C2 atribuido por separado al mismo grupo y el uso de Google Sheets en una actividad anterior vinculada a APT36.

Ningún indicio aislado se considera concluyente. Sin embargo, el conjunto de evidencias es coherente con un grupo conocido por atacar organizaciones gubernamentales y de defensa de la India.

Implicaciones y controles que deben realizarse

Entre los posibles objetivos se encuentran las telecomunicaciones afganas, las infraestructuras críticas regionales, organismos gubernamentales, organizaciones de defensa e infraestructuras energéticas del sur de Asia.

Las capacidades observadas permiten ejecutar comandos, realizar reconocimiento de procesos, mantener la persistencia en los navegadores y operar mediante servicios en la nube normalmente autorizados. Por tanto, quedan expuestos datos, credenciales y sistemas internos, con posibles consecuencias para la confidencialidad, la integridad y la disponibilidad.

Las organizaciones deberían:

• verificar los instaladores VPN y las herramientas de telecomunicaciones incluso cuando la marca, los nombres y las URL parezcan auténticos;
• comparar los accesos directos de Edge, Chrome y Firefox con versiones conocidas y fiables;
• buscar copias de seguridad anómalas o parámetros adicionales en los destinos de los accesos directos;
• supervisar PowerShell con -Command y bloques de script iniciados por procesos inesperados;
• analizar el acceso a las API de Google Sheets y a GitHub Gists desde endpoints que normalmente no las utilizan;
• detectar shellcode ejecutado en memoria y procesos secundarios anómalos de los navegadores;
• comprobar las conexiones a dominios recientes o sujetos a cambios frecuentes;
• aislar los hosts sospechosos y adquirir la memoria volátil antes de realizar la limpieza;
• rotar las credenciales potencialmente expuestas y verificar los accesos a sistemas en la nube, de telecomunicaciones y gubernamentales.

No se han indicado parches ni utilidades de eliminación específicas para PATCHCORD, SHEETCORD o HACKERAI C2 Agent. La formación del personal también debe abarcar los señuelos sectoriales personalizados, no solo los enlaces evidentemente sospechosos.

La sección independiente sobre CVE-2026-58231

La vulnerabilidad CVE-2026-58231 afecta a SAP Commerce Cloud y no está relacionada con la campaña PATCHCORD ni con APT36.

La vulnerabilidad tiene una puntuación CVSS 10 y el siguiente vector:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Está clasificada como CWE-94. Un atacante no autenticado puede abusar de un cliente de autenticación predeterminado y enviar entradas especialmente diseñadas a funciones específicas que carecen de una validación suficiente. La explotación puede permitir la ejecución arbitraria de código y comprometer componentes internos de la aplicación.

No se han divulgado las versiones afectadas. Tampoco se ha indicado si CVE-2026-58231 figura en el catálogo CISA KEV, ni se ha publicado un plazo operativo asociado.