Acronisのセキュリティ専門家はアフガニスタンの通信企業を標的とする活動中のサイバースパイキャンペーンを発見しました。さらに、攻撃者は南アジア全域の政府機関や重要インフラ施設にも重点的に狙いを定めています。これらの攻撃を実行するため、脅威アクターは複数の未知のマルウェア亜種を作成しており、中でもPATCHCORDバックドアが注目されます。
概要:感染チェーンと拡散手法
この調査は2026年6月に正式に始まりました。当時、研究者らはVirusTotalに直接アップロードされたTelecom_TMSという名前の非常に疑わしいZIPアーカイブを発見しました。このアーカイブには、正規のアフガン・テレコム(Afghan Telecom)のソフトウェアを装った悪意あるインストーラーが巧妙に仕込まれていました。重要な点として、ファイルのプロパティには通信事業者名が不正に表示されていました。さらに、発行者リンクは被害者を同社の正規のWebポータルへとリダイレクトするようになっていました。ユーザーがこのインストーラーを実行すると、システムにPATCHCORDバックドアが密かに展開される仕組みです。
ブラウザのショートカットを悪用した異例の永続化手法
このマルウェアは、Windows上で非常に異例な手法を用いて永続化を確立します。具体的には、PATCHCORDはMicrosoft Edge、Google Chrome、Mozilla Firefoxの標準的なデスクトップショートカットを悪意を持って改変します。その結果、ブラウザを起動すると、まずバックドアが実行され、その直後に正規のブラウザアプリケーションが起動する仕組みになっています。ショートカットの見た目のアイコンや想定される動作は完全に変わらないままです。そのため、一般的なユーザーはほとんど何も不審な点に気づきません。加えて、このプログラムはWindowsのレジストリのスタートアップ項目に自身を追加することで、存在をさらに強固なものにしています。
データ窃取とコマンド実行の機能
システムへの感染に成功すると、PATCHCORDはコンピューター名、現在のユーザー情報、具体的なWindowsのバージョン情報を積極的に収集します。また、指令サーバー(C2)との通信を開始する前に、実行中のプロセスに関する包括的なデータも収集します。リモートの操作者は、実行中のすべてのプロセスを密かに監視し、任意のシステムコマンドを実行することができます。特に重要な点として、攻撃者はシステムのRAM上で直接追加の悪意あるコードを実行することも可能で、ハードディスク上には一切の痕跡を残しません。
SHEETCORD:Googleスプレッドシートを悪用したC2
さらなる調査により、セキュリティ専門家はSHEETCORDと呼ばれる別の悪意あるプログラムを発見しました。これはGo言語で全面的に書かれています。攻撃者は、インドの国立情報学センター(National Informatics Centre)を装った偽のWebサイトからこのマルウェアを配布していました。驚くべきことに、このプログラムはコマンドの受信と窃取データの持ち出しにGoogleスプレッドシートを悪用します。マルウェアは、新たに感染したマシンごとに専用のスプレッドシートタブを作成します。さらに、SHEETCORDはショートカット乗っ取りの手法を拡張し、Brave、Opera、Vivaldiを含む6種類のブラウザを標的としています。
攻撃範囲の拡大:インフラとAIツール
攻撃者はこの接続されたインフラを利用して、インドのエネルギー部門に対する破壊的な攻撃を仕掛けました。公開状態にあった中継サーバー上で、専門家らはOpenSSHのCVE-2024-6387とLinuxのCVE-2021-4034を悪用するために特別に設計されたツールを発見しました。また、強引なパスワードのブルートフォースツール、Metasploitフレームワーク、SuperShellのインスタンス、ブラウザデータを窃取するために設計された専用プログラムも見つかっています。さらに、研究者らは、攻撃者がネットワーク機器やモバイル端末から機密データを窃取したとみられることを示すファイルも発見しました。
HACKERAI C2エージェント:LLMの役割
研究者らは、HACKERAI C2エージェントと名付けられたコンポーネントも発見しました。Acronisのアナリストは、開発者が大規模言語モデル(LLM)を基盤とするプログラミングツールを使ってこのエージェントを作成した可能性が高いと強く見ています。この結論は、特有のコード構造や、そのまま残された開発者のコメント、デバッグ用メッセージの痕跡に基づくものです。興味深いことに、HACKERAI C2エージェントは、コマンドのやり取りを密かに行うために、専用サーバーやGoogleスプレッドシートではなくGitHub Gistsを利用しています。
攻撃者の特定と継続する脅威評価
Acronisは現時点で、この広範なキャンペーンがAPT36と本質的に結びついているとの見方を、中程度の確度で示しています。セキュリティ研究者の間では、このグループはTransparent Tribeという名でも広く知られています。あるいは、これと緊密に連携するパキスタンに関連する脅威グループが関与している可能性も考えられます。標的選定の具体的な特徴が、この関連性を強く示唆しています。さらに、カスタムマルウェアの著しい類似性、共有されているインフラ、そして使用された具体的なツール群は、これまでに観測されてきたAPT36の作戦と密接に一致しています。本レポートの公開時点で、このキャンペーンを支える悪意あるインフラは依然として完全に稼働状態にありました。
翻訳元: https://meterpreter.org/patchcord-backdoor-afghan-telecom-attacks/
