今回の活動では、これまで文書化されていなかった3つのマルウェアファミリー「PATCHCORD」「SHEETCORD」「HACKERAI C2 Agent」が使用されており、APT36(別名Transparent Tribe)との関連の可能性が指摘されています。
研究者らはこの帰属評価について「中程度の確信度」としています。この評価は、当該グループの標的選定パターン、共有インフラ、マルウェアの類似性、そして外部に露出したステージングサーバー上で発見されたツール群に基づいています。
今回のキャンペーンは、主にアフガニスタンとインドの通信、政府、防衛、エネルギー分野の組織を標的としています。
このキャンペーンは、攻撃者側が従来の政府・軍事スパイ活動の標的の枠を超えて対象を拡大していることを示しています。
調査は、2026年6月にVirusTotal上でTelecom_TMSという名称の不審なZIPアーカイブを研究者が発見したことから始まりました。
このアーカイブには、正規のアフガン通信管理ツールを装うよう設計された、TMS_AfghanTelecom.exeという名前の悪質なインストーラーが含まれていました。
このインストーラーは、ファイルのメタデータにアフガン通信のブランディングを使用し、発行元URLには実在するアフガン通信のサービス依頼ポータルを記載していました。
このソーシャルエンジニアリング手法は、従業員にこのファイルが安全であると信じ込ませることを狙ったものとみられます。実行後、インストーラーはC/C++で書かれたカスタムの64ビットWindowsバックドアであるPATCHCORDをドロップします。
このマルウェアはコンソールウィンドウを非表示にし、感染デバイスの情報を収集した上で、コマンド&コントロール(C2)サーバーに登録し、攻撃者からの指令を待ち受けます。
PATCHCORDは、Microsoft Edge、Google Chrome、Mozilla Firefoxのブラウザショートカットを乗っ取ることで永続化を実現しています。
ブラウザのショートカットを改変し、マルウェアが先に起動した後、正規のブラウザを裏でひそかに開くという仕組みです。被害者には期待通りのブラウザウィンドウが表示されるため、バックグラウンドで実行されている不正な活動には気付きにくくなっています。
このインプラントは、実行中のプロセスの列挙、cmd.exeを通じたコマンド実行、ビーコン間隔の変更、そしてメモリ内でのシェルコードの直接実行が可能です。
このようなメモリ内実行により、最終的なペイロードをディスクに書き込む必要がなくなるため、フォレンジック調査で見つかる痕跡が少なくなります。PATCHCORDはポート8080経由でappstoore[.]solutionsドメインと通信していました。
研究者らは、このドメインをIPアドレス46.30.188[.]13に関連付けています。このIPアドレスは、アフガン通信サービス、インド政府機関、その他の組織を騙る複数のドメインをホストしていました。
インフラの分析からは、インドの国立情報学センター(National Informatics Centre)を騙るドメインnic-support[.]siteを使用する、別の稼働中のキャンペーンも発見されました。
このサイトは、偽の国防省アップデートインストーラーを配布しており、Go言語で書かれたマルウェアインプラントSHEETCORDを展開していました。
SHEETCORDは、リモートコマンド実行やブラウザショートカットの乗っ取りなど、PATCHCORDといくつかの機能を共有しています。
ただし、SHEETCORDはWindowsのスタートアップフォルダ内のVBScriptによる永続化機能を追加で備えており、Chrome、Firefox、Edge、Brave、Opera、Vivaldiの6種類のブラウザに対応していると、Acronisは述べています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(例: [.])としています。再有効化はMISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高めてSOCを強化し、MTTRを短縮しましょう
翻訳元: https://cyberpress.org/apt36-hackerai-llm-assisted-implant/