Специалисты Acronis раскрыли длительную шпионскую кампанию, поразившую телеком-операторов Афганистана, правительственные структуры и энергетическую инфраструктуру Южной Азии. На арсенале злоумышленников — как минимум три ранее неизвестных вредоноса, включая бэкдор, который превращает ярлык браузера в шпионский трамплин.
Начало: архив с подвохом
Всё началось с обычного ZIP-файла. В июне 2026 года на VirusTotal загрузили архив под названием Telecom_TMS.zip. Внутри лежал установщик, внешне неотличимый от официального софта афганского оператора Afghan Telecom: в свойствах значилось название компании, а ссылка издателя вела на её реальный сайт. Но вместо полезного приложения запускался бэкдор PATCHCORD.
Этот вредонос выбрал нестандартную тактику закрепления в системе. Он не просто прописывался в реестре, а модифицировал ярлыки браузеров — Microsoft Edge, Google Chrome и Mozilla Firefox. Принцип прост: при клике на иконку сначала стартует вредоносный код, а затем — сам браузер. Внешне значок и поведение ярлыка остаются прежними, поэтому пользователь не подозревает, что его сессия уже скомпрометирована.
Дополнительно PATCHCORD добавляет себя в автозагрузку Windows, чтобы сохранять присутствие после перезагрузки. Собрав базовую информацию о системе — имя компьютера, версию ОС, активные процессы — он устанавливает связь с управляющим сервером. Оператор получает доступ к просмотру запущенных процессов, выполнению произвольных команд и запуску кода напрямую в оперативной памяти, без записи на диск, что затрудняет обнаружение.
Второй фронт: SHEETCORD и Google Таблицы как C2-канал
В ходе расследования всплыла и другая программа — SHEETCORD, написанная на Go. Её распространяли через фейковый сайт, имитирующий Национальный центр информатики Индии. Этот вредонос пошёл дальше: он подменяет ярлыки уже шести браузеров — к Edge, Chrome и Firefox добавились Brave, Opera и Vivaldi.
Для управления SHEETCORD использует Google Таблицы: каждая заражённая машина получает отдельную вкладку, куда поступают команды и откуда выгружаются украденные данные. Такой подход позволяет злоумышленникам работать через легитимный облачный сервис, не привлекая внимания сетевых экранов.
Энергетика и открытые серверы
Инфраструктура кампании не ограничивалась телекомом. На открытом промежуточном сервере исследователи обнаружили набор инструментов для атак на энергетический сектор Индии: эксплойты для CVE-2024-6387 (OpenSSH) и CVE-2021-4034 (Linux), утилиты для подбора паролей, Metasploit, SuperShell, а также программы для кражи данных из браузеров. Там же хранились файлы, указывающие на кражу данных с сетевого оборудования и мобильных устройств.
ИИ-фрагмент в пазле
Особый интерес вызвал HACKERAI C2 Agent. По структуре кода, комментариям и отладочным сообщениям эксперты Acronis с высокой вероятностью заключили, что этот компонент был создан с использованием инструментов на основе больших языковых моделей — то есть написан с активной помощью ИИ. Вместо Google Таблиц или собственного сервера HACKERAI использует для обмена командами GitHub Gists, что делает его ещё более скрытным и устойчивым к блокировкам.
Кто стоит за атаками?
Средняя уверенность исследователей указывает на группу APT36, известную также как Transparent Tribe, или на тесно связанную с ней группировку, действующую из Пакистана. На это указывает совокупность факторов: выбор целей (госструктуры, телеком, энергетика), сходство вредоносных кодов, пересекающаяся инфраструктура и арсенал инструментов, ранее уже приписывавшийся APT36.
На момент публикации отчёта вся инфраструктура кампании оставалась активной. Это значит, что атаки продолжаются, а модифицированные ярлыки браузеров всё ещё служат невидимым входом для шпионов.
Вывод
Кампания, длящаяся уже больше года, демонстрирует эволюцию методов APT-групп: от классических эксплойтов к использованию облачных сервисов как каналов управления, от Windows-бэкдоров к мультиплатформенным Go-агентам, от ручного написания кода — к ИИ-ассистированной разработке. Пользовательский браузер, казалось бы, привычный инструмент, превращается в первого шпиона в системе. И его ярлык — уже не просто ссылка, а точка входа в многомесячную слежку.
