LONDON (IT BOLTWISE) – Eine laufende Cyber-Spionage-Kampagne setzt mit PATCHCORD eine bisher unbekannte Backdoor gegen Telekom-Anbieter in Afghanistan und weitere kritische Infrastrukturen in Südasien ein. Die Schadsoftware wird nach aktuellen Analysen als C/C++-Implant beschrieben und über täuschende Köder verteilt, darunter gefälschte VPN-Installer sowie Lures im Stil von Management-Tools. Parallel taucht mit SHEETCORD eine zweite, Go-basierte Hintertür auf, die Google Sheets als Kommando- und Steuerkanal nutzt. Auffällig ist dabei die Nutzung von Domains, die legitime Stellen wie etwa Infrastruktur- bzw. Gesundheitsseiten nachahmen.
In der Sicherheitsforschung rückt aktuell eine Kombination aus zwei eng verknüpften Backdoor-Familien in den Fokus: PATCHCORD und SHEETCORD. Laut Acronis Threat Research Unit (TRU) richtet sich die laufende Kampagne nicht nur auf Telekom-Organisationen in Afghanistan, sondern auch auf kritische Infrastrukturbereiche in Indien und der Region. Damit folgt der Angriff einem Muster, das man bereits aus früheren Cyber-Espionage-Fällen kennt: Zielsysteme, die zentral für Betrieb und Datenflüsse sind, werden bevorzugt, weil sich daraus später Zugang zu weiteren Netzsegmenten ableiten lässt. Besonders relevant ist dabei, dass die Angreifer ihre Infrastruktur so aufsetzen, dass sie Steuerbefehle und Updates für die Malware wiederkehrend aus einem kontrollierten Kanal heraus liefern können.
Technisch betrachtet beschreibt die Analyse PATCHCORD als kompiliertes C/C++-Implantat, das über „sector-specific lures“ an ihre Opfer gelangt. Solche lures sind mehr als bloße Köderdateien: Sie sind in der Regel inhaltlich und auch in ihrem Vertriebsweg so gestaltet, dass sie im Alltag der Zielorganisation plausibel wirken. Im konkreten Fall werden gefälschte VPN-Installer genannt, die sich als Software im Umfeld „Afghan Telecom“ (AFTEL) ausgeben. Zusätzlich kommen Köder zum Einsatz, die wie Telekom-Management-Tools wirken. Für die Verteidigung ist das entscheidende Detail: Wer nur nach bekannten Dateisignaturen sucht, greift bei solchen Kampagnen oft zu kurz, weil die Angriffslogik zwar ähnlich bleibt, der konkrete Delivery-Mechanismus aber variieren kann.
Parallel zur PATCHCORD-Kampagne identifizierten die Forschenden eine zweite Backdoor namens SHEETCORD. Diese soll in Go implementiert sein und Google Sheets als Kommando- und Steuerkanal (C2) verwenden. Das ist ein Ansatz, der im Vergleich zu klassischen C2-Servern mehrere operative Vorteile bieten kann: Google-Accounts und -Inhalte sind im Alltag vieler Unternehmen vorhanden oder zumindest gut bekannt, und der Abruf von Steuerinformationen lässt sich in normale Datenabrufe „einkleiden“. Zudem reduziert ein solcher C2-Mechanismus häufig die Notwendigkeit, dauerhaft nur auf eine einzelne Infrastruktur im Darknet angewiesen zu sein. Gleichzeitig verschiebt sich die Detektion von „IP-basiert“ hin zu „content- und verhaltensbasiert“, etwa bei ungewöhnlichen Zugriffsmustern auf APIs bzw. Webressourcen, die sonst nicht zu der typischen Anwendungspalette eines Unternehmens passen.
Auch bei der Domain-Auswahl fällt in der aktuellen Untersuchung eine klare Linie auf: Die Malware soll über Domains verteilt werden, die legitime Stellen nachahmen. Genannt wird eine Domain, die eine Adresse im Umfeld des „National Informatics Center“ (NIC) in Indien imitiert. Zusätzlich verweist die Analyse auf Domains, die sich als Betreiber von Telekomstrukturen tarnen, und sie erwähnt außerdem das „Hijacking“ einer legitimen Healthcare-Domain. Für IT- und Security-Teams ist genau dieser Layer aus Identitätsbetrug relevant: Nicht nur die Malware selbst, sondern auch die Eintrittswahrscheinlichkeit hängt stark davon ab, ob Anwender oder Prozesse den Landingpages und Downloads vertrauen. In der Praxis führt das häufig dazu, dass weder EDR/AV noch Gateway-Filter allein ausreichend sind, solange die Domains im Moment des Zugriffs als plausibel erscheinen.
Ein besonders aufschlussreicher Punkt aus der Auswertung ist die Beschreibung der Kampagnen-Infrastruktur: Sie soll um einen zentralen C2-Server mit mehreren zugehörigen Domains aufgebaut sein, darunter Tarnadressen für afghanische Telekom-Betreiber sowie die erwähnte umgelenkte Gesundheitsdomain. Dieses Design wirkt wie eine zentrale Lenkung mit mehreren „Hüllen“ für unterschiedliche Kommunikationspfade. Das kann die Angriffssteuerung robuster machen, weil einzelne Domains ausfallen oder blockiert werden können, ohne dass der operative Kern komplett zum Stillstand kommt. Für die Incident-Response bedeutet das: Selbst wenn ein Teilbereich der Kommunikation durch Sperren entschärft wird, kann der Angriff an anderer Stelle weiterlaufen, solange die Backdoor weiterhin einen funktionierenden Pfad zu Steuerinformationen besitzt.
Aus Marktsicht zeigt die Fallkonstellation zudem, wie eng der Aufwand für Angreifer und die Anforderungen an Verteidiger mittlerweile verknüpft sind. Die Zielrichtung auf Telekom und kritische Infrastrukturen legt nahe, dass die Kampagne langfristig auf Spionage und potenzielle Folgeschritte ausgerichtet ist. Während klassische Angriffe oft auf breite Streuung setzen, wirken „sector-specific lures“ hier wie eine gezielte Ansprache, die die Erfolgsquote erhöht. Unternehmen in der Region – unabhängig davon, ob sie in Afghanistan, Indien oder in angrenzenden Märkten tätig sind – sollten deshalb vor allem ihre Prozesse rund um Software-Downloads, Berechtigungsanfragen und die Verifizierung von Tool-Installationen schärfen. Dabei geht es nicht um Misstrauen gegenüber jeder Datei, sondern um harte Checks bei genau den Kategorien, die in der Analyse als Köder auftreten: VPN-Installer und angebliche Telekom-Management-Tools.
Für die technische Absicherung rückt damit vor allem die Kombination aus Telemetrie, Anwendungsprofilen und Offense-Resilience in den Vordergrund. Wenn SHEETCORD beispielsweise über Google Sheets steuert, sollten Security-Teams prüfen, welche Unternehmenssysteme überhaupt mit solchen Cloud-Services interagieren dürfen und wie häufig diese Interaktionen im Normalbetrieb auftreten. Gleichzeitig hilft ein konsequentes Monitoring auf Domain-Impersonation: Phishing-ähnliche Eintrittspunkte sind hier keine Randerscheinung, sondern Teil der Delivery-Strategie. Entscheidend ist am Ende, dass sich Schutzmaßnahmen nicht nur auf „bekannte Signaturen“ stützen, sondern auf Muster wie ungewöhnliche Installationspakete, abweichende Webzugriffe und C2-typische Kommunikationswege. Die aktuelle Meldung unterstreicht damit eine bereits bekannte Lehre der letzten Jahre: Bei Backdoors gewinnt oft die Kette aus Köder, Umleitung und Steuerkanal – und genau diese Kette muss man als Ganzes im Blick behalten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PATCHCORD und SHEETCORD: Neue Backdoors zielen auf Telekom und Critical Infrastructure" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PATCHCORD und SHEETCORD: Neue Backdoors zielen auf Telekom und Critical Infrastructure" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PATCHCORD und SHEETCORD: Neue Backdoors zielen auf Telekom und Critical Infrastructure« bei Google Deutschland suchen, bei Bing oder Google News!