📰 Informação fresquinha chegando para você!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os fornecedores de telecomunicações afegãos e as organizações de infraestruturas críticas do Sul da Ásia surgiram como alvo de uma nova campanha em curso que fornece uma backdoor anteriormente não documentada chamada PATCHCORD.
De acordo com a Unidade de Pesquisa de Ameaças da Acronis (TRU), o backdoor é um implante C/C++ compilado entregue por meio de iscas específicas do setor, incluindo falsos instaladores de VPN que se fazem passar pela Afghan Telecom (AFTEL) e ferramentas de gerenciamento de telecomunicações.
Uma análise da infraestrutura do agente da ameaça também levou à descoberta de outro backdoor baseado em Go, denominado SHEETCORD, que usa o Planilhas Google para comunicações de comando e controle (C2). Descobriu-se que o malware foi entregue por meio de um domínio que se faz passar pelo Centro Nacional de Informática (NIC) da Índia.
“A infraestrutura da campanha está centrada em um único servidor C2 com vários domínios associados, incluindo domínios que se fazem passar por operadoras de telecomunicações afegãs e um domínio de saúde legítimo sequestrado”, disseram os pesquisadores Darrel Virtusio, Santiago Pontiroli e Subhajeet Singha em um relatório compartilhado com o The Hacker News.
A atividade é avaliada como sendo obra de um ator de ameaça alinhado ao Paquistão, conhecido como APT36 (também conhecido como Tribo Transparente), com confiança moderada, citando sobreposições em padrões de direcionamento, semelhanças de malware, infraestrutura compartilhada e habilidade operacional.
O ponto de partida é um arquivo ZIP denominado "Telecom_TMS.zip" que contém um instalador Inno Setup ("TMS_AfghanTelecom.exe") responsável por entregar o PATCHCORD. TMS é a abreviação de Transport Management System, um sistema interno usado pela Afghan Telecom, uma empresa estatal de telecomunicações, para rastrear veículos corporativos e solicitações de transporte.
Após a execução, o backdoor oculta sua janela de console, configura a persistência sequestrando atalhos de navegador associados ao Google Chrome, Microsoft Edge e Mozilla Firefox após verificar se está sendo executado com privilégios elevados, identifica as impressões digitais do host e registra-se em seu servidor C2 ("46.30.188[.]13") para receber comandos de tarefas que permitem -
Ajustar intervalo do farol C2
Enumere todos os processos em execução
Decodifique e descriptografe uma carga útil de shellcode recebida do servidor C2 e execute-a na memória
Execute comandos arbitrários via "cmd.exe"
Fornece controle interativo sobre o mecanismo de persistência de sequestro de atalhos do navegador
“Quando iniciado através de um atalho de navegador sequestrado, ele inicia de forma transparente o navegador legítimo antes de continuar a execução em segundo plano, preservando a experiência esperada do usuário enquanto mantém a persistência”, disse a Acronis. "Caso contrário, ele segue diretamente para sua funcionalidade primária."
O implante também verifica um valor de Registro do Windows chamado “BeaconBrowserHijack” em “HKCU\Software\Microsoft\Windows\CurrentVersion\Run”. Se o valor já existir, ele ignora o processo de sequestro de atalho, assumindo que o sistema já foi comprometido.
Caso não seja esse o caso, ele grava seu próprio caminho executável na chave do Registro do Windows e estabelece persistência durante as reinicializações para ativar a rotina de sequestro de atalhos do navegador sempre que o usuário atual fizer login no Windows.
Um exame mais aprofundado da infraestrutura dos atores da ameaça revelou uma campanha direcionada às redes de TI do governo indiano, incluindo um site falso que imita o NIC ("nic-support[.]site") para implantar o SHEETCORD, que combina funcionalidades presentes no SHEETCREEP com aquelas incorporadas no PATCHCORD.
O backdoor implementa um recurso de execução remota de comando por meio do PowerShell em vez de "cmd.exe", coleta informações básicas do host e usa a pasta de inicialização do Windows para estabelecer persistência usando um script Visual Basic, empacota o mecanismo de sequestro de atalho do navegador do PATCHCORD para também atingir Brave, Opera e Vivaldi e usa a API do Planilhas Google para C2.
Diz-se que o PATCHCORD foi utilizado pelo ator da ameaça desde pelo menos março de 2026, com um desses ataques visando o setor de energia da Índia com uma variante do backdoor que apresenta técnicas de anti-análise e anti-depuração para evitar a detecção.
Além do mais, um servidor de teste exposto vinculado ao ator da ameaça ofereceu insights sobre seu kit de ferramentas ofensivas em evolução, incluindo estruturas C2 de código aberto como antnium, GateSentinel e SuperShell, explorações para CVE-2024-6387, projetos de malware assistidos por IA e arquivos específicos de campanha.
Um desses projetos assistidos por IA é o HACKERAI C2, que se sobrepõe ao PATCHCORD e ao SHEETCORD, mas usa GitHub Gists para C2 e implementa uma funcionalidade dedicada de upload e download para tarefas e exfiltração de dados.
“A campanha reflete uma evolução das operações recentes da Transparent Tribe”, disse Acronis. "Embora o grupo tenha historicamente se concentrado em organizações governamentais, militares e diplomáticas na Índia e na região mais ampla do Sul da Ásia, nossa investigação identificou um foco operacional mais forte nas telecomunicações afegãs.
De acordo com a Unidade de Pesquisa de Ameaças da Acronis (TRU), o backdoor é um implante C/C++ compilado entregue por meio de iscas específicas do setor, incluindo falsos instaladores de VPN que se fazem passar pela Afghan Telecom (AFTEL) e ferramentas de gerenciamento de telecomunicações.
Uma análise da infraestrutura do agente da ameaça também levou à descoberta de outro backdoor baseado em Go, denominado SHEETCORD, que usa o Planilhas Google para comunicações de comando e controle (C2). Descobriu-se que o malware foi entregue por meio de um domínio que se faz passar pelo Centro Nacional de Informática (NIC) da Índia.
“A infraestrutura da campanha está centrada em um único servidor C2 com vários domínios associados, incluindo domínios que se fazem passar por operadoras de telecomunicações afegãs e um domínio de saúde legítimo sequestrado”, disseram os pesquisadores Darrel Virtusio, Santiago Pontiroli e Subhajeet Singha em um relatório compartilhado com o The Hacker News.
A atividade é avaliada como sendo obra de um ator de ameaça alinhado ao Paquistão, conhecido como APT36 (também conhecido como Tribo Transparente), com confiança moderada, citando sobreposições em padrões de direcionamento, semelhanças de malware, infraestrutura compartilhada e habilidade operacional.
O ponto de partida é um arquivo ZIP denominado "Telecom_TMS.zip" que contém um instalador Inno Setup ("TMS_AfghanTelecom.exe") responsável por entregar o PATCHCORD. TMS é a abreviação de Transport Management System, um sistema interno usado pela Afghan Telecom, uma empresa estatal de telecomunicações, para rastrear veículos corporativos e solicitações de transporte.
Após a execução, o backdoor oculta sua janela de console, configura a persistência sequestrando atalhos de navegador associados ao Google Chrome, Microsoft Edge e Mozilla Firefox após verificar se está sendo executado com privilégios elevados, identifica as impressões digitais do host e registra-se em seu servidor C2 ("46.30.188[.]13") para receber comandos de tarefas que permitem -
Ajustar intervalo do farol C2
Enumere todos os processos em execução
Decodifique e descriptografe uma carga útil de shellcode recebida do servidor C2 e execute-a na memória
Execute comandos arbitrários via "cmd.exe"
Fornece controle interativo sobre o mecanismo de persistência de sequestro de atalhos do navegador
“Quando iniciado através de um atalho de navegador sequestrado, ele inicia de forma transparente o navegador legítimo antes de continuar a execução em segundo plano, preservando a experiência esperada do usuário enquanto mantém a persistência”, disse a Acronis. "Caso contrário, ele segue diretamente para sua funcionalidade primária."
O implante também verifica um valor de Registro do Windows chamado “BeaconBrowserHijack” em “HKCU\Software\Microsoft\Windows\CurrentVersion\Run”. Se o valor já existir, ele ignora o processo de sequestro de atalho, assumindo que o sistema já foi comprometido.
Caso não seja esse o caso, ele grava seu próprio caminho executável na chave do Registro do Windows e estabelece persistência durante as reinicializações para ativar a rotina de sequestro de atalhos do navegador sempre que o usuário atual fizer login no Windows.
Um exame mais aprofundado da infraestrutura dos atores da ameaça revelou uma campanha direcionada às redes de TI do governo indiano, incluindo um site falso que imita o NIC ("nic-support[.]site") para implantar o SHEETCORD, que combina funcionalidades presentes no SHEETCREEP com aquelas incorporadas no PATCHCORD.
O backdoor implementa um recurso de execução remota de comando por meio do PowerShell em vez de "cmd.exe", coleta informações básicas do host e usa a pasta de inicialização do Windows para estabelecer persistência usando um script Visual Basic, empacota o mecanismo de sequestro de atalho do navegador do PATCHCORD para também atingir Brave, Opera e Vivaldi e usa a API do Planilhas Google para C2.
Diz-se que o PATCHCORD foi utilizado pelo ator da ameaça desde pelo menos março de 2026, com um desses ataques visando o setor de energia da Índia com uma variante do backdoor que apresenta técnicas de anti-análise e anti-depuração para evitar a detecção.
Além do mais, um servidor de teste exposto vinculado ao ator da ameaça ofereceu insights sobre seu kit de ferramentas ofensivas em evolução, incluindo estruturas C2 de código aberto como antnium, GateSentinel e SuperShell, explorações para CVE-2024-6387, projetos de malware assistidos por IA e arquivos específicos de campanha.
Um desses projetos assistidos por IA é o HACKERAI C2, que se sobrepõe ao PATCHCORD e ao SHEETCORD, mas usa GitHub Gists para C2 e implementa uma funcionalidade dedicada de upload e download para tarefas e exfiltração de dados.
“A campanha reflete uma evolução das operações recentes da Transparent Tribe”, disse Acronis. "Embora o grupo tenha historicamente se concentrado em organizações governamentais, militares e diplomáticas na Índia e na região mais ampla do Sul da Ásia, nossa investigação identificou um foco operacional mais forte nas telecomunicações afegãs.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #novo #backdoor #patchcord #tem #como #alvo #as #telecomunicações #afegãs #e #a #infraestrutura #crítica #indiana
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário