Wprowadzenie do problemu / definicja
PATCHCORD to wcześniej nieudokumentowany backdoor wykorzystywany w ukierunkowanej kampanii cyberwywiadowczej przeciwko operatorom telekomunikacyjnym oraz podmiotom infrastruktury krytycznej w Azji Południowej. Operacja zwraca uwagę połączeniem spreparowanych instalatorów VPN, narzędzi podszywających się pod legalne aplikacje oraz wykorzystaniem zaufanych usług chmurowych do komunikacji command-and-control.
Taki model działania znacząco utrudnia wykrywanie incydentu. Ruch do popularnych platform internetowych może bowiem wyglądać jak zwykła aktywność biznesowa, a sam implant pozostaje aktywny bez wzbudzania podejrzeń użytkownika.
W skrócie
Badacze powiązali opisaną kampanię z grupą APT36, znaną również jako Transparent Tribe, z umiarkowanym poziomem pewności. Malware PATCHCORD był dostarczany przez fałszywe instalatory i utrzymywał trwałość w systemie Windows poprzez modyfikację skrótów przeglądarek.
W analizie infrastruktury ujawniono również bardziej rozwinięty wariant o nazwie SHEETCORD, który wykorzystywał Google Sheets jako kanał C2. To podejście pozwalało operatorom ukrywać komunikację w legalnym ruchu do usług SaaS i utrudniało klasyczne blokowanie na poziomie sieci.
Kontekst / historia
Kampania wpisuje się w rosnący trend odchodzenia przez grupy APT od tradycyjnej infrastruktury C2 na rzecz legalnych usług internetowych. Nadużywanie popularnych platform chmurowych daje atakującym przewagę operacyjną, ponieważ ograniczenie takiego ruchu bywa trudne bez wpływu na codzienną działalność organizacji.
Według analizy celem byli przede wszystkim operatorzy telekomunikacyjni w Afganistanie oraz organizacje związane z administracją, obronnością i infrastrukturą krytyczną w regionie Azji Południowej. Zastosowane przynęty były dobrze dopasowane do profilu ofiary, co wskazuje na staranne rozpoznanie i typowy charakter operacji szpiegowskiej.
Analiza techniczna
PATCHCORD został opisany jako implant skompilowany w C/C++, zaprojektowany do utrzymywania dostępu do stacji roboczej oraz zdalnego wykonywania poleceń. Jego wyróżnikiem jest mechanizm persistence oparty na przejęciu skrótów przeglądarek, takich jak Microsoft Edge, Google Chrome i Mozilla Firefox.
Atak polegał na modyfikacji skrótów w taki sposób, aby najpierw uruchamiały komponent malware, a dopiero później otwierały właściwą przeglądarkę. Dzięki temu użytkownik widział oczekiwane zachowanie systemu, podczas gdy złośliwy kod aktywował się w tle przy codziennej pracy.
Po instalacji implant komunikował się z serwerem C2 i obsługiwał podstawowe funkcje operacyjne. Obejmowały one między innymi zmianę interwału beaconingu, listowanie uruchomionych procesów, wykonywanie poleceń systemowych oraz uruchamianie shellcode wyłącznie w pamięci, co ograniczało liczbę artefaktów na dysku.
Badacze zidentyfikowali także rodzinę SHEETCORD napisaną w Go. W tym wariancie wymiana poleceń i odpowiedzi odbywała się przez Google Sheets API, a dla poszczególnych ofiar mogły być tworzone oddzielne arkusze lub zakładki, co upraszczało zarządzanie kampanią i jednocześnie zmniejszało jej widoczność.
W raporcie wspomniano również o trzeciej rodzinie malware nazwanej HACKERAI C2 Agent, wykorzystującej GitHub Gists do podobnych celów. Dodatkowo analiza wskazała cechy sugerujące użycie narzędzi wspomagających programowanie opartych na modelach językowych, co pokazuje rosnącą rolę automatyzacji w rozwoju narzędzi ofensywnych.
Istotnym elementem dochodzenia było odnalezienie niezabezpieczonego serwera stagingowego operatora. Znajdujące się na nim narzędzia C2, trojany zdalnego dostępu, komponenty do kradzieży poświadczeń oraz artefakty exploitów pomogły lepiej odtworzyć łańcuch infekcji i powiązania pomiędzy używanymi narzędziami.
Konsekwencje / ryzyko
Najpoważniejszym ryzykiem związanym z kampanią PATCHCORD jest możliwość długotrwałej i dyskretnej obecności w środowisku ofiary. Połączenie socjotechniki, niestandardowej trwałości oraz komunikacji przez legalne usługi chmurowe tworzy skuteczny model operacji wywiadowczej.
Dla sektora telekomunikacyjnego, administracji publicznej, obronności i infrastruktury krytycznej oznacza to podwyższone ryzyko kradzieży danych, monitorowania aktywności użytkowników i dalszej lateralizacji w sieci. Jeśli implant może wykonywać polecenia i ładować kod bezpośrednio do pamięci, operatorzy zyskują dużą elastyczność przy ograniczonej liczbie śladów pozostawianych na stacjach roboczych.
Skutki kompromitacji mogą wykraczać daleko poza pojedynczy endpoint. W środowiskach o znaczeniu strategicznym przejęcie jednej stacji może otworzyć drogę do systemów zarządzania, danych abonentów, konfiguracji sieciowych lub dokumentów istotnych z punktu widzenia bezpieczeństwa państwa i ciągłości działania usług.
Rekomendacje
Organizacje powinny rozszerzyć monitoring bezpieczeństwa o modyfikacje plików LNK, zwłaszcza skrótów prowadzących do przeglądarek. To relatywnie rzadko analizowany wektor persistence, który może zostać pominięty przez tradycyjne reguły detekcyjne.
W warstwie endpointów warto wdrożyć detekcję nietypowych łańcuchów procesów, uruchamiania procesów pośrednich przed startem przeglądarki, użycia powłoki systemowej z kontekstu aplikacji użytkownika oraz technik uruchamiania kodu wyłącznie w pamięci. Istotne jest także monitorowanie PowerShell oraz anomalii związanych z uruchamianiem narzędzi administracyjnych.
Z perspektywy sieci kluczowe jest profilowanie ruchu do usług chmurowych. Sama komunikacja z renomowaną platformą nie powinna być uznawana za automatycznie bezpieczną, dlatego niezbędna jest analiza behawioralna, obserwacja nietypowych wzorców wywołań API oraz korelacja zdarzeń sieciowych z telemetrią z EDR/XDR.
- weryfikować źródła instalatorów VPN i narzędzi administracyjnych,
- ograniczać lokalne uprawnienia użytkowników,
- stosować allowlisting aplikacji,
- prowadzić szkolenia antyphishingowe oparte na realistycznych scenariuszach ukierunkowanych,
- blokować lub dodatkowo analizować domeny podszywające się pod instytucje publiczne,
- regularnie prowadzić threat hunting pod kątem TTP powiązanych z APT36 i podobnymi grupami.
W środowiskach o podwyższonym poziomie ryzyka warto również wykonać retrospektywną analizę logów pod kątem podejrzanych odwołań do arkuszy online, usług typu snippets oraz nietypowych połączeń wychodzących inicjowanych przez procesy użytkownika. W przypadku podejrzenia kompromitacji należy zabezpieczyć również artefakty pamięci operacyjnej.
Podsumowanie
Kampania PATCHCORD pokazuje, że współczesne operacje szpiegowskie coraz częściej łączą dopasowaną socjotechnikę, niestandardowe mechanizmy persistence oraz nadużywanie zaufanych usług chmurowych do komunikacji C2. Wykorzystanie Google Sheets jako kanału sterowania dodatkowo utrudnia klasyczne podejście do filtrowania ruchu i blokowania infrastruktury atakującego.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest praktyczny: skuteczna detekcja musi obejmować nie tylko znane IOC, ale również mniej oczywiste wzorce zachowań na endpointach i w ruchu SaaS. Bez takiego podejścia nawet stosunkowo prosty implant może utrzymać się w środowisku przez długi czas.
Źródła
- Acronis Threat Research Unit report on PATCHCORD and SHEETCORD — https://www.acronis.com/en-us/tru/posts/patchcord-sheetcord-and-hackerai-c2-agent-uncovering-a-south-asian-cyber-espionage-cluster/
- APT36 Suspected in PATCHCORD Espionage Campaign Using Google Sheets C2 — https://securityaffairs.com/197266/intelligence/apt36-suspected-in-patchcord-espionage-campaign-using-google-sheets-c2.html
- Zscaler ThreatLabz research on SHEETCREEP — https://www.zscaler.com/blogs/security-research/sheetcreep-stealthy-python-rat-using-google-sheets-command-and-control
- MITRE ATT&CK: Hijack Execution Flow / Shortcut Modification — https://attack.mitre.org/techniques/T1546/
- MITRE ATT&CK: Web Service and Cloud Service Abuse — https://attack.mitre.org/techniques/T1102/