APT36 провела операцию против государственных и оборонных организаций

В августе 2026 года связанная с Пакистаном группировка APT36 провела операцию RapidRust против государственных и оборонных организаций в Индии и Афганистане. В ходе операции использовались бэкдор RUSTYSHADE на базе Rust, инструмент распространения через съёмные носители RUSTYMOVE, а также средства кражи файлов в Windows и Linux PSNATCH и BASHNATCH. Операторы проводили разведку систем, пользователей и сети, выявляли активные системы, составляли карту сетевых шар и предпринимали попытки перемещения внутри организаций.

Бэкдор и кража файлов

RUSTYSHADE представляет собой 64-разрядный бэкдор для Windows. Для управления он использует приватные репозитории GitHub и REST API GitHub. Аутентификация вредоносного ПО в репозитории выполняется с помощью жёстко закодированного персонального токена доступа GitHub.

Команды размещаются в выделенном файле репозитория, после чего заражённые системы извлекают их и выполняют. Результаты возвращаются в другом файле репозитория в виде зашифрованного вывода. Для обмена данными применяется шифрование AES-256-GCM с собственным префиксом HCENC1. Вредоносное ПО поддерживает несколько удалённых команд и синхронизирует активность, опрашивая определённые имена файлов в репозитории.

PSNATCH, стиллер на основе PowerShell, рекурсивно сканирует каталоги Рабочий стол, Загрузки, Документы и OneDrive, а также диски с D: по H:. Он нацелен на документы, изображения, архивы, медиафайлы, исполняемые файлы, скрипты и базы данных, собирая файлы, изменённые в течение последних 120 дней. Объём данных ограничен 1 ГБ на файл и 5 ГБ за одно выполнение.

Файлы выгружаются в приватные репозитории GitHub, контролируемые злоумышленниками, через Contents API. Для каждой жертвы создаётся отдельный репозиторий. Локальная база данных в формате JSON отслеживает загруженные файлы и временные метки, поддерживая инкрементальную кражу данных. BASHNATCH предоставляет аналогичные возможности для систем Linux.

Распространение через съёмные носители

RUSTYMOVE, утилита для Windows, написанная на Rust, непрерывно отслеживает съёмные носители USB, SD, MMC и IEEE 1394. При обнаружении носителя она копирует заранее подготовленный архив в его корневой каталог. Архив содержит RUSTYSHADE и вредоносный файл LNK.

Для закрепления RUSTYMOVE использует запланированную задачу. Инструмент также отслеживает заражённые тома по уникальному идентификатору. В отчёте этот механизм связан с распространением на съёмные носители и потенциально изолированные сети.

Для распространения полезных нагрузок и поддержки операций APT36 использовала:

• домены индийских новостных сайтов с опечатками;
• GitHub gists;
• Backblaze;
• приватные репозитории.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.