南アジアの重要インフラや通信事業者を狙う新型バックドア「PATCHCORD」が判明、パキスタン系脅威グループが関与か

要点

• アフガニスタンの通信事業者やインドの重要インフラを標的とした継続的なサイバー攻撃キャンペーンが確認された。

• 攻撃には新たに発見されたC/C++製バックドア「PATCHCORD」や、Googleスプレッドシートを指令サーバーとして悪用する「SHEETCORD」が使用されている。

• 業務管理システムや公的機関を装った偽装インストーラーを侵入経路とし、ブラウザのショートカット改ざんによって長期的な潜伏を図る手口が確認された。

• 攻撃インフラや手口の分析から、パキスタンとの関連が指摘される脅威グループ「APT36（別名Transparent Tribe）」による活動と評価されている。

• サイバーセキュリティ企業Acronisの脅威調査部門（TRU）は、アフガニスタンの通信事業者や南アジアの重要インフラ組織を標的とする新たな攻撃活動についての調査結果を報告した。本キャンペーンでは、これまで文書化されていなかった新型バックドア（外部からシステムを遠隔操作するための不正プログラム）である「PATCHCORD」などが展開されていることが明らかになった。調査にあたった研究チームは、標的の傾向やインフラの類似性から、パキスタン系脅威グループ「APT36（別名Transparent Tribe）」による関与の可能性を中程度の確信度で指摘している。

業務ツールに偽装して侵入する「PATCHCORD」

攻撃の初期侵入には、セクターごとに特化したおとりファイルが用いられている。一例として、アフガニスタンの国営通信企業Afghan Telecom（AFTEL）が車両管理などに用いる内部システム「TMS（Transport Management System）」を偽装したZIPファイル「Telecom_TMS.zip」が確認された。この中にはInno Setup形式のインストーラー「TMS_AfghanTelecom.exe」が含まれており、実行されるとPATCHCORDが展開される仕組みとなっていた。また、偽のVPNインストーラーが悪用されたケースも報告されている。

PATCHCORDはC/C++でコンパイルされたバックドアで、実行されると直ちに自身のコンソールウィンドウを隠蔽する。続いてシステム上で昇格された権限で動作しているかを確認したうえで、Google Chrome、Microsoft Edge、Mozilla Firefoxといった主要ブラウザのショートカットを改ざん（ハイジャック）し、システムへの永続的な定着を図る。

端末情報の収集を終えたマルウェアは、指定されたC2サーバー（マルウェアへ遠隔指示を出す指令サーバー「46.30.188[.]13」）に登録を行い、以下の遠隔操作コマンドを受け取る状態になる。

• C2サーバーとの通信（ビーコン）間隔の調整
• 実行中プロセスの列挙
• C2サーバーから受信した暗号化シェルコード（メモリ上で直接実行される機械語コード）の復号とメモリ内での実行
• 「cmd.exe」を通じた任意のコマンド実行
• ブラウザショートカット改ざん機能の対話的な制御

このマルウェアは、改ざんされたブラウザショートカットから起動された場合、利用者に怪しまれないよう正規のブラウザを通常どおり立ち上げながら、バックグラウンドで自身の不正処理を継続する。また、Windowsレジストリ（HKCU\Software\Microsoft\Windows\CurrentVersion\Run）に「BeaconBrowserHijack」という値が存在するかを確認し、すでに値が存在する場合はショートカット改ざん処理を省略する一方、存在しない場合は自身の実行ファイルパスを登録し、ユーザーのログオン時に自動起動するよう設定を行う。

Googleスプレッドシートを悪用する「SHEETCORD」の併用

攻撃インフラの分析では、インド政府のITネットワークを狙った別のバックドア「SHEETCORD」の存在も明らかになった。このマルウェアは、インド国立情報センター（NIC）を模倣した偽サイト（「nic-support[.]site」）などを通じて配布されていた。

SHEETCORDはGo言語で作成されており、過去に確認されたマルウェア「SHEETCREEP」の機能とPATCHCORDの特徴を併せ持っている。最大の特徴は、C2通信のインフラとして「Google Sheets API」を利用し、Googleスプレッドシート経由でコマンドの送受信を行う点にある。コマンド実行には「cmd.exe」ではなくPowerShellが用いられ、Windowsのスタートアップフォルダに配置されたVisual Basic Script（VBScript）によって永続化を維持する。さらに、PATCHCORDと同様のブラウザショートカット改ざん機能を備えており、対象ブラウザにはBrave、Opera、Vivaldiも追加されていた。

攻撃活動の背景と進化するツールキット

Acronisの報告によると、PATCHCORDを用いた攻撃は少なくとも2026年3月頃から確認されている。過去にはインドのエネルギーセクターを標的とした事例もあり、その際には解析やデバッグを防ぐためのアンチ解析機能を備えた亜種が投入されていたという。

また、脅威アクターが使用していた公開状態のステージングサーバー（攻撃準備用のサーバー）からは、攻撃者の手口の広がりを示す各種ツールが確認された。サーバー内には「antnium」「GateSentinel」「SuperShell」といったオープンソースのC2フレームワークのほか、OpenSSHの脆弱性（CVE-2024-6387）を標的としたエクスプロイト（脆弱性を突く攻撃プログラム）、さらにはAIを活用して作成されたとみられるマルウェアプロジェクトが含まれていた。その一例である「HACKERAI C2」は、PATCHCORDやSHEETCORDと構造上の重複が見られる一方、C2通信にGitHub Gistsを利用する設計となっていた。

Acronisの調査チーム（Darrel Virtusio氏、Santiago Pontiroli氏、Subhajeet Singha氏）は、一連のキャンペーンが単一のC2サーバーを中心に、通信事業者への偽装ドメインや不正に乗っ取られた医療機関の正規ドメインなど複数のドメインを紐づけて運用されていたと説明している。標的の選定傾向やインフラの重複、ツールの共通点から、南アジア地域を狙うAPT36の一連の活動であることが強く推測されている。