与 APT36 关联的 HACKERAI 植入程序显示出 LLM 辅助恶意软件开发的迹象

原创

ZM
ZM

暗镜

2026年8月21日 06:00
北京

在小说阅读器读本章

去阅读

该活动使用了三个以前未记录的恶意软件家族：PATCHCORD、SHEETCORD 和 HACKERAI C2 Agent，并显示出与APT36（也称为 Transparent Tribe）的可能联系。研究人员对归因的置信度为中等。该评估基于该组织的攻击目标模式、共享基础设施、恶意软件相似性以及在暴露的测试服务器上发现的工具。该行动主要针对阿富汗和印度的电信、政府、国防和能源机构。

电信公司是高价值目标，因为攻击者有可能访问通信系统、用户数据和敏感的政府相关信息。该行动表明，这些间谍活动的目标已经超越了传统的政府和军事间谍目标。

调查始于2026 年 6 月，当时研究人员在 VirusTotal 上发现了一个名为 Telecom\_TMS 的可疑ZIP 压缩文件。它包含一个名为 TMS\_AfghanTelecom.exe 的恶意安装程序，该程序旨在伪装成合法的阿富汗电信管理工具。安装程序在其文件元数据中使用了阿富汗电信的品牌标识，并在其发布者 URL 中包含了合法的阿富汗电信服务请求门户网站。

这种社会工程攻击手段很可能是为了让员工相信该文件是安全的。执行后，安装程序会释放 PATCHCORD，这是一个用 C/C++ 编写的定制版 64 位 Windows 后门程序。该恶意软件隐藏其控制台窗口，收集有关受感染设备的信息，向其命令和控制服务器注册，并等待攻击者的命令。PATCHCORD 通过劫持 Microsoft Edge、Google Chrome和 Mozilla Firefox 的浏览器快捷方式来实现持久化。它会篡改浏览器快捷方式，使恶意软件先启动，然后静默打开真正的浏览器。受害者会看到预期的浏览器窗口，可能不会注意到后台运行的恶意活动。

该植入程序可以枚举正在运行的进程，通过执行命令cmd.exe，改变其信标间隔，并直接在内存中运行 shellcode。这种内存内执行方式避免了将最终有效载荷写入磁盘，从而减少了可见的取证痕迹。PATCHCORDappstoore[.]solutions通过 8080 端口与域进行通信。研究人员将该域名与 IP 地址关联起来46.30.188[.]13，该 IP 地址托管了多个域名，这些域名冒充阿富汗电信服务、印度政府实体和其他组织。

基础设施分析发现nic-support[.]site，另一起活跃的攻击活动使用了冒充印度国家信息中心的域名。该网站散布了一个伪造的国防部更新安装程序，该程序会部署 SHEETCORD，这是一个基于 Go 的恶意软件植入程序。SHEETCORD 与 PATCHCORD 有几项共同的功能，包括远程命令执行和浏览器快捷方式劫持。它通过 Windows 启动文件夹中的 VBScript 增加了持久性，并支持六款浏览器：Chrome、Firefox、Edge、Brave、Opera 和 Vivaldi 。

相关IOC