PATCHCORD-Spionage: Hacker nutzen Google Sheets für Befehle
Veröffentlicht am: 16.08.2026 um 12:53 Uhr | Redaktion boerse-global.de
Sicherheitsexperten der Acronis Threat Research Unit (TRU) haben eine hochentwickelte Spionagekampagne aufgedeckt, die unter dem Namen PATCHCORD operiert. Die Angreifer nutzen eine Kombination aus gefälschten VPN-Tools und legitimen Cloud-Diensten wie Google Sheets, um weitreichende Command-and-Control-Operationen (C2) durchzuführen. Ziel der Kampagne seien primär afghanische Telekommunikationsanbieter sowie kritische Infrastrukturen in Südasien.
Technischer Aufbau der Schadsoftware
Im Zentrum der Aktivitäten steht die in C/C++ geschriebene Backdoor PATCHCORD. Um eine dauerhafte Präsenz auf den Zielsystemen zu gewährleisten, setzen die Akteure laut dem Untersuchungsbericht auf Browser-Shortcut-Hijacking. Dabei werden Verknpfungen gängiger Webbrowser so manipuliert, dass bei jedem Start des Programms auch der Schadcode im Hintergrund ausgeführt wird.
Ergänzt wird PATCHCORD durch ein zweites, in der Programmiersprache Go verfasstes Implantat namens SHEETCORD. Dieses Tool zeichnet sich durch eine unauffällige Kommunikation aus: Es nutzt die Programmierschnittstelle von Google Sheets für den Datenaustausch mit den Kontrollservern der Angreifer.
SHEETCORD sei zudem in der Lage, PowerShell-Befehle direkt auf den infizierten Rechnern auszuführen, was den Angreifern eine flexible Steuerung der kompromittierten Systeme ermöglicht.
Wer sich mit komplexen Spionagekampagnen befasst, erkennt schnell die Notwendigkeit einer proaktiven Absicherung. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberbedrohungen und zeigt, wie Sie Sicherheitslücken effektiv schließen. Gratis-E-Book: Cyber-Security-Trends entdecken
Täuschungsmanöver und Infektionswege
Die Verteilung der Schadsoftware erfolgt über gezielte Täuschungsmanöver. Die Forscher identifizierten gefälschte VPN-Installer, die das offizielle Erscheinungsbild des Anbieters Afghan Telecom (AFTEL) nachahmen. Nutzer, die glauben, eine notwendige Sicherheitssoftware zu installieren, bringen stattdessen die Spionagewerkzeuge auf ihre Geräte.
Zusätzlich nutzen die Hintermänner der Kampagne eine Domain, welche die Online-Präsenz des indischen National Informatics Centre (NIC) imitiert, um Vertrauen bei den Opfern zu erwecken. Neben der Nutzung von Google Sheets greifen die Akteure für ihre C2-Operationen auch auf GitHub Gists zurück, um Befehle zu hinterlegen oder Daten abzugreifen.
Infrastruktur und mutmaßliche Urheber
Im Rahmen der Analysen stießen die Experten von Acronis auf einen exponierten Server der Angreifergruppe. Die Auswertung dieses Servers offenbarte ein umfangreiches Arsenal an Angriffswerkzeugen. Dazu gehörten die Verwaltungskonsole SuperShell, verschiedene Remote-Access-Trojaner (RATs), ein Werkzeug zum Diebstahl von Zugangsdaten (Credential-Harvester) sowie ein Exploit für die Netzwerksoftware OpenSSH.
Immer mehr Organisationen werden Opfer von gezielten Angriffen, die oft mit der Manipulation von Mitarbeitern beginnen. Erfahren Sie in diesem kostenlosen Report, welche psychologischen Taktiken Hacker einsetzen und wie man sich wirksam davor schützt. Kostenloses Anti-Phishing-Paket herunterladen
Ein besonderes Augenmerk legten die Forscher auf den sogenannten HACKERAI C2 Agenten. Dieser zeige deutliche Anzeichen für eine KI-gestützte Entwicklung, was auf eine Modernisierung der Angriffsmethoden hindeute.
Hinsichtlich der Urheberschaft bewertet Acronis die Verbindung zur Gruppierung APT36, die in Sicherheitskreisen auch unter dem Namen Transparent Tribe bekannt ist, mit moderater Konfidenz.
Die Wahl der Ziele in der Telekommunikationsbranche und der kritischen Infrastruktur Südasiens entspricht dem historischen Profil dieser Akteure. Die Entdeckung unterstreicht die anhaltende Bedrohung für staatliche und infrastrukturelle Einrichtungen in der Region durch spezialisierte Spionagegruppen.
