Transparent Tribe dùng backdoor Rust mới qua GitHub riêng cho C2
"Transparent Tribe (APT36) was observed targeting government and defense organizations in India and Afghanistan with a new Rust-based backdoor and related tooling in Operation RapidRust. The campaign uses private GitHub repositories for encrypted C2, typosquatted domains for payload delivery, and includes file-stealing and USB propagation components; no CVE is mentioned, and the primary impact is espionage and data theft. Mitigation is implied through detection and blocking of the malicious infrastructure and malware families rather than a specific vendor patch."
Rủi ro cao về gián điệp mạng, đánh cắp dữ liệu và duy trì hiện diện lâu dài; hạ tầng C2 qua GitHub và USB propagation làm tăng khả năng né tránh phát hiện.
Có thể gây ảnh hưởng đến tính bí mật dữ liệu, an toàn thông tin nội bộ và liên tục vận hành của cơ quan/tổ chức mục tiêu; cần tăng cường giám sát endpoint và kiểm soát lưu lượng ra ngoài.
Nhóm đe dọa Transparent Tribe (APT36), được cho là có liên hệ với Pakistan, đã bị ghi nhận triển khai một chiến dịch mới nhắm vào các tổ chức chính phủ và quốc phòng tại Ấn Độ và Afghanistan. Chiến dịch, được Zscaler ThreatLabz đặt tên Operation RapidRust, sử dụng nhiều công cụ mới gồm RUSTYSHADE, RUSTYMOVE, PSNATCH và BASHNATCH.
Điểm đáng chú ý là kẻ tấn công dùng private GitHub repositories làm kênh command-and-control (C2) được mã hóa, đồng thời đăng ký các typosquatted domains giả mạo cơ quan báo chí để phát tán PowerShell scripts và payload độc hại. RUSTYSHADE là backdoor viết bằng Rust, có thể nhận lệnh, chụp màn hình, chụp ảnh webcam và thực thi tác vụ từ xa. PSNATCH và BASHNATCH là các công cụ đánh cắp tệp trên Windows và Linux, giới hạn thu thập tới 1 GB mỗi tệp và 5 GB mỗi lần chạy.
Ngoài ra, RUSTYMOVE được dùng để lây lan qua USB removable media, sao chép các tệp độc hại vào ổ ngoài nhằm mở rộng phạm vi xâm nhập. Do không có CVE cụ thể, biện pháp ưu tiên là phát hiện hành vi, chặn hạ tầng độc hại, giám sát GitHub API, và kiểm soát thiết bị USB cùng các miền giả mạo.