APT36-Kampagne: Neue Malware PATCHCORD und SHEETCORD seit August
Veröffentlicht am: 14.08.2026 um 19:29 Uhr | Redaktion boerse-global.de
Sicherheitsforscher der Organisation Acronis TRU haben eine neue Cyber-Spionage-Kampagne identifiziert, die der Akteursgruppe APT36 zugeschrieben wird.
Die auch unter dem Namen Transparent Tribe bekannte Gruppe setzt seit Mitte August 2026 verstärkt auf bisher unbekannte Malware-Stämme, um sensible Infrastrukturen in Afghanistan und Indien zu infiltrieren. Im Zentrum der Angriffe stehen dabei die Sektoren Telekommunikation, Regierung, Verteidigung sowie der Energiesektor.
Technische Analyse von PATCHCORD und SHEETCORD
Die Kampagne zeichnet sich durch den Einsatz spezialisierter Hintertüren aus, die darauf ausgelegt sind, gängige Kommunikations- und Browsing-Werkzeuge zu manipulieren.
Eines der zentralen neuen Instrumente ist die Backdoor namens PATCHCORD. Hierbei handelt es sich um eine in C/C++ geschriebene Schadsoftware, die gezielt Browser-Verknüpfungen von Microsoft Edge, Google Chrome und Mozilla Firefox verändert.
Durch dieses sogenannte Shortcut-Hijacking erlangen die Angreifer Kontrolle über den Datenverkehr und können Browsing-Aktivitäten überwachen. Für die Kommunikation mit den Angreifern nutzt PATCHCORD den Command-and-Control-Server (C2) unter der Domain appstoore[.]solutions über den Port 8080.
Angriffe auf sensible Infrastrukturen zeigen, wie wichtig proaktive Schutzmaßnahmen für Unternehmen jeder Größe sind. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberbedrohungen und zeigt auf, wie Sie Sicherheitslücken ohne hohe Investitionen schließen können. Gratis-E-Book: Cyber Security Strategien für Unternehmen herunterladen
Parallel dazu kommt das Werkzeug SHEETCORD zum Einsatz. Dieses Implantat basiert auf der Programmiersprache Go und nutzt einen unkonventionellen Weg für die Steuerung: Die Kommunikation erfolgt über Google Sheets, was die Entdeckung durch herkömmliche Sicherheitsmechanismen erschweren soll. Zur Sicherung der Persistenz auf den infizierten Systemen nutzt SHEETCORD ein VBScript, das im Autostart-Verzeichnis des Betriebssystems hinterlegt wird.
Erweiterte Infrastruktur und genutzte Schwachstellen
Neben diesen beiden Hauptwerkzeugen identifizierten die Experten von Acronis TRU ein drittes Tool namens HACKERAI C2 Agent. Dieses nutzt GitHub Gists für die Command-and-Control-Kommunikation. Die Angreifer greifen zudem auf etablierte Frameworks wie Metasploit und SuperShell zurück, um ihre Operationen durchzuführen.
Besonders kritisch bewerten Sicherheitsanalysten den Umstand, dass die Gruppe einen Exploit für die Schwachstelle CVE-2024-6387 verwendet. Dies unterstreicht die technische Aufrüstung der Gruppe, die neben eigenen Entwicklungen auch bekannte Sicherheitslücken in ihre Angriffskette integriert.
Die gemeinsame Infrastruktur der Kampagne umfasst nach vorliegenden Erkenntnissen den Server mit der IP-Adresse 46.30.188.13 sowie die Domains afghantelecom[.]site und nic-support[.]site.
Wer sich mit der Abwehr komplexer Cyber-Risiken befasst, muss auch die rechtlichen Pflichten und neuen technologischen Herausforderungen im Blick behalten. Ein kostenloser Report klärt auf, welche Bedrohungen Unternehmer jetzt kennen müssen und wie sie ihre IT-Sicherheit langfristig stärken. Kostenlosen Cyber-Security Report jetzt sichern
Zielprofile und strategische Einordnung
Die aktuelle Kampagne konzentriert sich geografisch auf Afghanistan und Indien. Dabei wenden die Akteure Techniken der Identitätstäuschung (Impersonation) an, um Vertrauen bei den Zielpersonen zu erschleichen und den Erstzugriff auf die Netzwerke zu ermöglichen.
Besonders im Fokus stehen Organisationen der kritischen Infrastruktur, wobei die Manipulation von Telekommunikationswerkzeugen darauf hindeutet, dass das primäre Ziel die langfristige Informationsbeschaffung und Überwachung der Kommunikation ist.
Sicherheitsforscher ordnen diese Aktivitäten mit moderater Sicherheit der Gruppe APT36 zu. Um betroffenen Organisationen bei der Abwehr zu helfen, wurden detaillierte Indikatoren für eine Kompromittierung (IOCs) veröffentlicht. Diese enthalten spezifische Hashes der Schadsoftware sowie die genutzten Domains und IP-Adressen, mit denen Sicherheitssysteme konfiguriert werden können, um die Angriffe frühzeitig zu blockieren.
Die Entdeckung verdeutlicht die kontinuierliche Weiterentwicklung der Werkzeuge von APT36, die ihre Methoden zur Umgehung von Sicherheitssoftware durch den Einsatz legitimer Webdienste wie Google Sheets und GitHub weiter verfeinert haben.
