PATCHCORD, la campagna che nasconde un backdoor nei browser e usa Google Sheets come C2

Falsi strumenti telecom contro obiettivi strategici

Una campagna di cyberspionaggio prende di mira operatori telecom afghani e organizzazioni legate alle infrastrutture critiche dell’Asia meridionale. L’attività è stata resa pubblica il 16 agosto 2026 e utilizza installer VPN contraffatti, software di gestione telecom e portali costruiti per imitare servizi legittimi.

Il malware principale è PATCHCORD, un backdoor sviluppato in C/C++ per sistemi Windows a 64 bit. Gli attaccanti hanno realizzato esche molto specifiche per i settori colpiti, tra cui falsi installer associati ad Afghan Telecom (AFTEL) e strumenti destinati agli operatori di telecomunicazioni.

In un caso, il programma riproduceva il nome dell’azienda, i campi del prodotto e persino l’URL del portale di supporto autentico. Dopo l’avvio, l’installer eseguiva il malware e apriva contemporaneamente una normale sessione del browser, così da ridurre i segnali visibili all’utente.

La campagna comprende anche un dominio che replica l’identità del National Informatics Centre (NIC) indiano. Le versioni esatte degli installer e dei prodotti imitati non sono state rese note.

Il browser hijacking garantisce la persistenza

PATCHCORD verifica innanzitutto la disponibilità di privilegi elevati. In seguito cerca i collegamenti utilizzati per avviare Microsoft Edge, Google Chrome e Mozilla Firefox.

Il malware conserva gli originali e modifica i collegamenti in modo che, a ogni apertura, venga eseguito prima il backdoor e poi il browser legittimo. Per l’utente il comportamento apparente resta invariato: clicca sull’icona abituale e visualizza il browser normalmente, mentre il codice malevolo parte in secondo piano.

Questa tecnica offre all’attaccante una persistenza poco evidente e non dipende necessariamente dall’aggiunta di servizi o attività pianificate facilmente individuabili. La gestione remota di questa configurazione rientra tra le funzioni esposte dal backdoor.

Una volta attivo, PATCHCORD comunica con il server di comando e controllo e permette almeno di:

• modificare l’intervallo tra le comunicazioni;
• enumerare i processi in esecuzione;
• eseguire shellcode direttamente in memoria;
• lanciare comandi arbitrari attraverso una shell nascosta;
• modificare da remoto la persistenza basata sui collegamenti dei browser.

L’esecuzione in memoria può lasciare meno tracce sul disco, complicando le attività forensi successive. Non elimina però la possibilità di individuare anomalie nei processi, nei collegamenti e nel traffico generato dagli endpoint.

SHEETCORD sposta il comando e controllo su Google

L’analisi dell’infrastruttura ha portato all’identificazione di SHEETCORD, un secondo malware scritto in Go. Il codice combina caratteristiche già osservate nello SHEETCREEP RAT con capacità presenti in PATCHCORD, suggerendo un’evoluzione progressiva degli strumenti dell’operatore.

La differenza più rilevante riguarda il canale C2. SHEETCORD non usa un server web tradizionale, ma l’API di Google Sheets. Per ogni vittima viene predisposta una scheda distinta all’interno di un foglio di calcolo; il documento diventa così il punto di scambio per comandi e risposte.

L’approccio sfrutta un servizio cloud comune nelle reti aziendali. Di conseguenza, bloccare genericamente il traffico verso Google può essere impraticabile, mentre il traffico malevolo rischia di confondersi con attività operative normali.

SHEETCORD conserva una funzione di esecuzione remota chiamata main.executeShellCommand, analoga a quella di PATCHCORD. Cambia però il metodo impiegato per avviare i comandi: invece di cmd.exe /c, il malware ricorre a:

powershell -Command

L’esecuzione è incapsulata in uno script block, una modifica che amplia la sovrapposizione con i normali strumenti amministrativi di Windows e riflette l’evoluzione tecnica della toolchain.

GitHub Gists e sviluppo assistito dall’AI

Una terza famiglia individuata nell’operazione è HACKERAI C2 Agent, che utilizza i GitHub Gists per il comando e controllo.

Nel codice sono rimasti messaggi di debug, commenti con caratteristiche compatibili con codice generato da strumenti di intelligenza artificiale e implementazioni ridondanti. I ricercatori hanno inoltre rilevato una doppia routine XOR che riutilizza la stessa chiave.

Questi elementi fanno pensare a un uso almeno parziale di strumenti di coding assistito da modelli linguistici. Non indicano però un’operazione condotta autonomamente da un sistema di AI. Il ruolo ipotizzato riguarda soprattutto la generazione o l’assemblaggio del codice, non la pianificazione indipendente della campagna.

L’uso di servizi legittimi come Google Sheets e GitHub Gists aumenta la difficoltà dei controlli basati soltanto su reputazione degli indirizzi o blocco dei domini. La detection deve quindi considerare anche il contesto: quale processo accede all’API, da quale endpoint e con quale frequenza.

Un server di staging espone l’intero toolkit

L’indagine è stata favorita dalla scoperta di un server di staging lasciato accessibile senza adeguate protezioni. Il sistema conteneva numerosi componenti dell’arsenale operativo, tra cui SuperShell, un framework C2 in lingua cinese, diversi remote access trojan e strumenti per sottrarre credenziali.

Erano presenti anche exploit per una vulnerabilità nota di OpenSSH e file apparentemente compatibili con un database della cronologia delle chiamate di dispositivi iOS. Quest’ultimo reperto lascia aperta la possibilità di attività rivolte all’acquisizione di dati mobili, ma non dimostra da solo che tali informazioni siano state effettivamente sottratte.

L’infrastruttura risultava ancora attiva al momento della pubblicazione. I domini cambiavano regolarmente, mentre il server sottostante rimaneva invariato per mesi. Non sono stati resi disponibili domini, indirizzi IP, hash o altri indicatori tecnici puntuali.

L’attribuzione ad APT36, noto anche come Transparent Tribe, resta a confidenza moderata. Gli elementi compatibili comprendono strumenti di credential harvesting già associati a campagne confermate, un framework C2 attribuito separatamente allo stesso gruppo e l’uso di Google Sheets in una precedente attività collegata ad APT36.

Nessun singolo indizio è considerato conclusivo. L’insieme degli elementi è però coerente con un gruppo noto per aver colpito organizzazioni governative e della difesa indiane.

Implicazioni e controlli da eseguire

I potenziali bersagli comprendono telecomunicazioni afghane, infrastrutture critiche regionali, enti governativi, organizzazioni della difesa e infrastrutture energetiche dell’Asia meridionale.

Le capacità osservate consentono di eseguire comandi, ricognire i processi, mantenere la persistenza sui browser e operare tramite servizi cloud normalmente autorizzati. Sono quindi esposti dati, credenziali e sistemi interni, con possibili conseguenze su riservatezza, integrità e disponibilità.

Le organizzazioni dovrebbero:

• verificare installer VPN e strumenti telecom anche quando branding, nomi e URL sembrano autentici;
• confrontare i collegamenti di Edge, Chrome e Firefox con versioni note e attendibili;
• cercare backup anomali o parametri aggiuntivi nei target dei collegamenti;
• monitorare PowerShell con -Command e script block avviati da processi inattesi;
• analizzare accessi alle API di Google Sheets e ai GitHub Gists da endpoint che normalmente non li utilizzano;
• individuare shellcode eseguito in memoria e processi figli anomali dei browser;
• controllare connessioni verso domini recenti o soggetti a frequenti cambiamenti;
• isolare gli host sospetti e acquisire la memoria volatile prima della bonifica;
• ruotare le credenziali potenzialmente esposte e verificare gli accessi a sistemi cloud, telecom e governativi.

Non sono indicate patch o utility di rimozione specifiche per PATCHCORD, SHEETCORD o HACKERAI C2 Agent. La formazione del personale deve inoltre coprire le esche settoriali personalizzate, non soltanto i link evidentemente sospetti.

La scheda separata su CVE-2026-58231

La vulnerabilità CVE-2026-58231 riguarda SAP Commerce Cloud e non è collegata alla campagna PATCHCORD né ad APT36.

La falla ha un punteggio CVSS 10 e il vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

È classificata come CWE-94. Un attaccante non autenticato può abusare di un client di autenticazione predefinito e inviare input costruiti ad apposite funzioni prive di validazione sufficiente. Lo sfruttamento può portare all’esecuzione arbitraria di codice e alla compromissione di componenti interni dell’applicazione.

Le versioni interessate non sono state rese note. Non è inoltre indicato se CVE-2026-58231 sia presente nel catalogo CISA KEV, né è disponibile una relativa scadenza operativa.