Někdy stačí jeden zapomenutý server s otevřeným directory listingem a výzkumníci rozbalí celou špionážní operaci jako vánoční dárek. Přesně tohle se povedlo týmu Acronis Threat Research Unit (TRU), který v srpnu 2026 zveřejnil analýzu kampaně nazvané PatchCord backdoor, dosud nezdokumentovaného malwaru mířícího na afghánské telekomunikační operátory a kritickou infrastrukturu napříč jižní Asií.
Falešný VPN klient jako trojský kůň pro PatchCord backdoor
Celé to začalo v červnu 2026, kdy si výzkumníci všimli podezřelého ZIP archivu na VirusTotalu. Uvnitř čekal instalátor s názvem TMS_AfghanTelecom.exe, 32bitový Inno Setup balíček zkompilovaný v Embarcadero Delphi a zabalený do .NET Reactoru, aby se hůř analyzoval.
Útočníci si dali záležet na detailech. Metadata instalátoru tvrdí, že jde o „TMS Afghan Telecom Setup“ od společnosti Afghan Telecom, a AppPublisherUrl dokonce ukazuje na skutečný portál tms.afghantelecom.af, který Afghan Telecom používá pro sledování servisních požadavků. Autoři kampaně si udělali domácí úkol a věděli přesně, jak má vypadat legitimní nástroj, aby ho zaměstnanci telekomu neváhali spustit.
Po instalaci se z instalátoru vybalí TMS_Launcher.exe (147 kB), a to je ve skutečnosti samotný PatchCord backdoor.
Co PatchCord backdoor umí
Jde o 64bitový Windows binár psaný v C/C++ (MSVC), který po spuštění:
- Schová konzoli a rozjede se na pozadí
- Zajistí persistenci únosem zástupců prohlížečů (Edge, Chrome, Firefox), přepíše .lnk soubory tak, aby při kliknutí na zástupce nejdřív proběhl malware a teprve pak se transparentně spustí skutečný prohlížeč. Uživatel nic nepozná.
- Otiskne systém (hostname, uživatel, verze OS, PID, cesta) a zaregistruje se na C2
- Čeká na příkazy v pravidelné pollovací smyčce
Persistence PatchCord backdooru se ukládá do registru pod klíčem HKCU\Software\Microsoft\Windows\CurrentVersion\Run\BeaconBrowserHijack, což je pěkně nenápadný název, který splyne s desítkami dalších Run klíčů.
Backdoor komunikuje s hardcoded C2 doménou appstoore[.]solutions přes port 8080, s User-Agentem Beacon/1.0.0. Podporuje pět operací:
| Opcode | Co dělá |
|---|---|
| 0x1A | Změna intervalu beaconingu |
| 0x1B | Výpis běžících procesů |
| 0x1C | Spuštění shellcode přímo v paměti (žádný soubor na disku) |
| 0x1D | Vzdálené spuštění příkazů přes cmd.exe /c |
| 0x1E | Ovládání únosu zástupců prohlížečů |
Nejzajímavější je asi opcode 0x1C, kdy se shellcode dekóduje, dešifruje XOR rutinou, nahraje do paměti přes VirtualAlloc a spustí novým threadem. Nikdy se nedotkne disku, takže forenzní stopa je minimální. Na stejném serveru výzkumníci našli i Metasploit a SuperShell framework, takže je pravděpodobné, že právě odtud si operátor bere shellcody na míru.
Sourozenci PatchCord backdooru: SheetCord a HackerAI C2
Pivotování na infrastrukturu (jediná IP adresa 46.30.188.13 u nizozemského hostingu Gwy IT Pty Ltd, na kterou se za sedm měsíců vystřídalo přes deset domén) odhalilo, že PatchCord backdoor není jediné dítě této operace.
SheetCord je go-langová verze s podobnými schopnostmi, ale se dvěma vylepšeními:
- Rozšiřuje únos zástupců ze tří prohlížečů na šest (přidává Brave, Operu, Vivaldi)
- Pro C2 komunikaci zneužívá Google Sheets API. S hardcoded GCP service account vytváří pro každou oběť vlastní list v tabulce a obousměrně přes něj komunikuje. Vypadá to jako normální firemní provoz, ne jako C2 kanál.
Tahle technika má výrazné překryvy s dříve zdokumentovaným RATem SheetCreep, který je s middle confidence přiřazený k APT36.
HackerAI C2 Agent je pak třetí rodina, objevená přes historická SSL certifikátová data. Nejstarší doména v celém clusteru (defence.cgda.site, imitující indický Controller General of Defence Accounts) běžela už od září 2025, měsíce před tím, než kampaň s PatchCord backdoorem vůbec odstartovala. Tenhle implant za C2 nepoužívá vlastní HTTP server ani Google Sheets, ale GitHub Gists pro tasking i exfiltraci dat.
Bonus zajímavost: kód HackerAI C2 obsahuje stopy, které naznačují AI-asistovaný vývoj, komentáře ve stylu LLM výstupu, debug hlášky jako [LOG] Agent Started, zbytky testovacího kódu, zdvojenou XOR rutinu se stejným klíčem a hardcoded GitHub token natvrdo v binárce. Vývojář nechal Claude nebo ChatGPT napsat malware a moc to nezkontroloval.
Poklad na exponovaném stagingu za operací PatchCord backdoor
Zlatý hřeb celé analýzy je exponovaný staging server operátora s otevřeným directory listingem. Kromě samotných kampaňových souborů (lákadla imitující Afghan Telecom, Salaam Telecom i afghánské ministerstvo komunikací) tam byl celý útočníkův toolkit:
- Antnium, open-source Go C2 framework
- GateSentinel, C2 framework dříve zdokumentovaný Bitdefenderem jako součást APT36 arzenálu
- Adresář s Nim backdoorem, což odpovídá trendu APT36 přesouvat se k méně obvyklým jazykům
- HackBrowserData, nástroj na krádež přihlašovacích údajů z prohlížečů, dříve viděný v APT36 útocích na indické letectvo
- Exploity na CVE-2024-6387 (regreSSHion) a CVE-2021-4034 (PwnKit)
- Brute-force nástroje (hydra, rockyou wordlist)
- Možná nejzneklidňující nález: soubory jako
Routers_backup.zip,Sessions_Backup.zipa JSON se schématem odpovídajícím iOS databázi historie hovorů, což naznačuje, že se operátor nebavil jen Windows koncovými stanicemi, ale i síťovými prvky a mobilními zařízeními.
Kdo stojí za kampaní s PatchCord backdoorem
Acronis TRU přisuzuje kampaň s middle confidence skupině APT36 (Transparent Tribe), pákistánskému aktérovi aktivnímu od roku 2013, tradičně zaměřenému na vládní, vojenské a diplomatické cíle v Indii a jižní Asii. Tahle kampaň ale ukazuje posun, silnější důraz na afghánské telekomunikační operátory vedle klasických indických vládních a energetických cílů.
Atribuce stojí na čtyřech pilířích: cílení na afghánskou telekomunikační a vládní infrastrukturu, přítomnost HackBrowserData nástroje (dříve viděného u APT36), společný výskyt GateSentinel frameworku a použití Google Sheets jako C2 kanálu, které silně připomíná dříve zdokumentovanou kampaň SheetCreep.
Proč je PatchCord backdoor důležitý
Telekomunikační operátoři jsou lákavým cílem právě proto, že poskytují přístup ke komunikační infrastruktuře, datům o předplatitelích a v podstatě i k vládní komunikaci, která přes ně protéká. Kompromitace jednoho telekomu tak může znamenat mnohem širší dohled, než jen na jednu organizaci.
Kampaň s PatchCord backdoorem byla v době publikace analýzy stále aktivní, infrastruktura běžela, domény se dál rozšiřovaly a C2 server odpovídal. Organizace v regionu jižní Asie nebo se stykem na afghánskou telekomunikační infrastrukturu by měly projít níže uvedené IOC.
Indikátory kompromitace PatchCord backdooru
C2 doména a IP:
