PATCHCORD, la campagne qui dissimule une backdoor dans les navigateurs et utilise Google Sheets comme C2

De faux outils télécom ciblant des objectifs stratégiques

Une campagne de cyberespionnage cible des opérateurs télécoms afghans ainsi que des organisations liées aux infrastructures critiques d’Asie du Sud. Rendue publique le 16 août 2026, elle s’appuie sur de faux installateurs VPN, des logiciels de gestion télécom et des portails conçus pour imiter des services légitimes.

Le principal malware est PATCHCORD, une backdoor développée en C/C++ pour les systèmes Windows 64 bits. Les attaquants ont élaboré des leurres très ciblés pour les secteurs visés, notamment de faux installateurs associés à Afghan Telecom (AFTEL) et des outils destinés aux opérateurs télécoms.

Dans un cas, le programme reproduisait le nom de l’entreprise, les champs du produit et même l’URL du portail d’assistance authentique. Après son lancement, l’installateur exécutait le malware tout en ouvrant une session normale dans le navigateur, afin de réduire les signaux visibles par l’utilisateur.

La campagne comprend également un domaine qui reproduit l’identité du National Informatics Centre (NIC) indien. Les versions exactes des installateurs et des produits imités n’ont pas été communiquées.

Le détournement des navigateurs assure la persistance

PATCHCORD vérifie d’abord la disponibilité de privilèges élevés. Il recherche ensuite les raccourcis utilisés pour lancer Microsoft Edge, Google Chrome et Mozilla Firefox.

Le malware conserve les originaux et modifie les raccourcis afin qu’à chaque ouverture, la backdoor soit exécutée avant le navigateur légitime. Pour l’utilisateur, le comportement apparent reste inchangé : il clique sur l’icône habituelle et voit normalement son navigateur, tandis que le code malveillant s’exécute en arrière-plan.

Cette technique offre à l’attaquant une persistance discrète et ne dépend pas nécessairement de l’ajout de services ou de tâches planifiées facilement repérables. La gestion à distance de cette configuration fait partie des fonctionnalités exposées par la backdoor.

Une fois actif, PATCHCORD communique avec le serveur de commande et contrôle et permet notamment de :

• modifier l’intervalle entre les communications ;
• énumérer les processus en cours d’exécution ;
• exécuter du shellcode directement en mémoire ;
• lancer des commandes arbitraires via un shell dissimulé ;
• modifier à distance la persistance basée sur les raccourcis des navigateurs.

L’exécution en mémoire peut laisser moins de traces sur le disque, ce qui complique les analyses forensiques ultérieures. Elle n’empêche toutefois pas la détection d’anomalies dans les processus, les raccourcis et le trafic généré par les endpoints.

SHEETCORD déplace le C2 vers Google

L’analyse de l’infrastructure a permis d’identifier SHEETCORD, un second malware écrit en Go. Son code combine des caractéristiques déjà observées dans le SHEETCREEP RAT avec des fonctionnalités présentes dans PATCHCORD, ce qui suggère une évolution progressive des outils de l’opérateur.

La principale différence concerne le canal C2. SHEETCORD n’utilise pas un serveur web traditionnel, mais l’API Google Sheets. Une feuille distincte est préparée pour chaque victime au sein d’un tableur ; le document devient ainsi le point d’échange des commandes et des réponses.

Cette approche exploite un service cloud couramment utilisé dans les réseaux d’entreprise. Il peut donc être difficile de bloquer globalement le trafic vers Google, tandis que le trafic malveillant risque de se confondre avec des activités opérationnelles normales.

SHEETCORD conserve une fonction d’exécution à distance appelée main.executeShellCommand, analogue à celle de PATCHCORD. La méthode utilisée pour lancer les commandes diffère toutefois : au lieu de cmd.exe /c, le malware utilise :

powershell -Command

L’exécution est encapsulée dans un script block, une modification qui renforce la ressemblance avec les outils d’administration Windows courants et reflète l’évolution technique de la toolchain.

GitHub Gists et développement assisté par l’IA

Une troisième famille identifiée dans cette opération est HACKERAI C2 Agent, qui utilise les GitHub Gists pour le commande et contrôle.

Le code contient encore des messages de débogage, des commentaires compatibles avec du code généré par des outils d’intelligence artificielle et des implémentations redondantes. Les chercheurs ont également détecté une double routine XOR réutilisant la même clé.

Ces éléments suggèrent un recours au moins partiel à des outils de programmation assistés par des modèles de langage. Ils ne démontrent toutefois pas que l’opération ait été menée de manière autonome par un système d’IA. Le rôle envisagé concerne principalement la génération ou l’assemblage du code, et non la planification indépendante de la campagne.

L’utilisation de services légitimes comme Google Sheets et GitHub Gists complique les contrôles reposant uniquement sur la réputation des adresses ou le blocage des domaines. La détection doit donc également tenir compte du contexte : quel processus accède à l’API, depuis quel endpoint et à quelle fréquence.

Un serveur de staging expose l’ensemble de la boîte à outils

L’enquête a été facilitée par la découverte d’un serveur de staging accessible sans protections suffisantes. Le système contenait de nombreux composants de l’arsenal opérationnel, notamment SuperShell, un framework C2 en chinois, plusieurs remote access trojans et des outils de vol d’identifiants.

Des exploits visant une vulnérabilité connue d’OpenSSH étaient également présents, ainsi que des fichiers semblant correspondre à une base de données de l’historique des appels de terminaux iOS. Ce dernier élément laisse ouverte la possibilité d’activités visant l’acquisition de données mobiles, mais ne prouve pas à lui seul que ces informations aient effectivement été exfiltrées.

L’infrastructure était encore active au moment de la publication. Les domaines changeaient régulièrement, tandis que le serveur sous-jacent restait inchangé pendant plusieurs mois. Aucun domaine, aucune adresse IP, aucun hash ni autre indicateur technique précis n’a été communiqué.

L’attribution à APT36, également connu sous le nom de Transparent Tribe, reste établie avec un niveau de confiance modéré. Les éléments compatibles comprennent des outils de credential harvesting déjà associés à des campagnes confirmées, un framework C2 attribué séparément au même groupe et l’utilisation de Google Sheets lors d’une précédente activité liée à APT36.

Aucun indice isolé n’est considéré comme concluant. L’ensemble des éléments reste toutefois cohérent avec un groupe connu pour avoir ciblé des organisations gouvernementales et de défense indiennes.

Implications et contrôles à effectuer

Les cibles potentielles comprennent les télécommunications afghanes, les infrastructures critiques régionales, les organismes gouvernementaux, les organisations de défense et les infrastructures énergétiques d’Asie du Sud.

Les capacités observées permettent d’exécuter des commandes, de recenser les processus, de maintenir la persistance dans les navigateurs et d’opérer via des services cloud normalement autorisés. Les données, les identifiants et les systèmes internes sont donc exposés, avec de possibles conséquences sur la confidentialité, l’intégrité et la disponibilité.

Les organisations devraient :

• vérifier les installateurs VPN et les outils télécoms, même lorsque la marque, les noms et les URL semblent authentiques ;
• comparer les raccourcis d’Edge, Chrome et Firefox avec des versions connues et fiables ;
• rechercher des sauvegardes anormales ou des paramètres supplémentaires dans les cibles des raccourcis ;
• surveiller PowerShell avec -Command et les script blocks lancés par des processus inattendus ;
• analyser les accès aux API Google Sheets et aux GitHub Gists depuis des endpoints qui ne les utilisent normalement pas ;
• détecter le shellcode exécuté en mémoire et les processus enfants anormaux des navigateurs ;
• contrôler les connexions vers des domaines récents ou changeant fréquemment ;
• isoler les hôtes suspects et capturer la mémoire volatile avant la remédiation ;
• renouveler les identifiants potentiellement exposés et vérifier les accès aux systèmes cloud, télécoms et gouvernementaux.

Aucun correctif ni outil de suppression spécifique à PATCHCORD, SHEETCORD ou HACKERAI C2 Agent n’a été indiqué. La sensibilisation du personnel doit également couvrir les leurres sectoriels personnalisés, et pas uniquement les liens manifestement suspects.

L’encadré distinct consacré à CVE-2026-58231

La vulnérabilité CVE-2026-58231 concerne SAP Commerce Cloud et n’est pas liée à la campagne PATCHCORD ni à APT36.

La faille obtient un score CVSS de 10 et présente le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Elle est classée CWE-94. Un attaquant non authentifié peut exploiter un client d’authentification par défaut et envoyer des entrées spécialement conçues à des fonctions dépourvues d’une validation suffisante. L’exploitation peut entraîner l’exécution arbitraire de code et la compromission de composants internes de l’application.

Les versions concernées n’ont pas été communiquées. Il n’est pas non plus précisé si CVE-2026-58231 figure dans le catalogue CISA KEV, ni si une échéance opérationnelle lui est associée.