Команда Acronis Threat Research Unit виявила кібершпигунську кампанію проти афганських телеком-провайдерів та об’єктів критичної інфраструктури Південної Азії. Для проникнення зловмисники використовують новий бекдор PATCHCORD, який поширюється під виглядом інсталяторів систем управління транспортом компанії Afghan Telecom. Дослідники також виявили другий шкідливий модуль SHEETCORD, який використовує Google Sheets API для прихованої передачі команд.

Аналіз інфраструктури вказує на зв’язок атак із хакерським угрупованням APT36. Для закріплення в системі PATCHCORD підміняє ярлики браузерів Chrome, Edge та Firefox. Під час запуску користувачем браузера програма непомітно стартує шкідливий код у фоновому режимі, виконує довільні команди через cmd.exe та завантажує додаткові інструменти шпигунства, включно з інструментами на базі штучного інтелекту.