APT36 използва зловреден код, разпространяващ се чрез USB, за достъп до изолирани правителствени мрежи

APT36, свързана с Пакистан хакерска група, стартира кампания, която използва заразени сменяеми носители, за да вкара зловреден код в изолирани от мрежата правителствени среди.

Операцията, наречена RapidRust, е насочена срещу Индия и Афганистан с вратичка (backdoor), инструменти за кражба на файлове и инструмент за разпространение чрез USB. Този подход е важен, тъй като изолираните среда (air-gapped мрежи) са отделени от интернет с цел защита на чувствителни системи.

USB флаш устройство все пак може да преодолее тази физическа разделителна линия, когато се пренася между заразен компютър и такъв с ограничен достъп – риск, който е илюстриран и от докладите за атакa с физическо изолация на GoldenJackal.

Анализатори от Zscaler идентифицираха активността през август 2026 г. и я приписаха на APT36. Наборът от инструменти може да краде документи, да обследва локални мрежи и да достига до системи без интернет свързаност.

От Zscaler посочват в доклад, споделен с Cyber Security News (CSN), че кампанията съчетава частни хранилища в GitHub, базирани в облака злонамерени кодове и наподобяващи домейни, които имитират индийски медии. Тези избори помагат на активността да се слива с нормалното уеб потребление.

Кампанията също така показва как един малък инструмент за разпространение може да създаде сериозна изложеност на риск в контролирана среда. Той може да позволи на потребител ненарочно да пренесе инфекция през границата за сигурност.

Това е особено актуално за офиси, където класифицирани записи се местят между административни работни станции и изолирани оперативни системи, тъй като едно непроверено устройство може да подкопае тази изолация по време на рутинни трансфери на устройства.

APT36 използва зловреден код, разпространяващ се чрез USB

В центъра на тази фаза е RUSTYMOVE – лека програма за Windows, написана на Rust. След като се инсталира на компрометиран компютър, тя постоянно следи за USB, SD, MMC и IEEE 1394 сменяеми устройства, като проверява за нови носители на всеки две секунди.

Когато открие устройство, инструментът копира два подготвени файла в неговата основна директория: архив, съдържащ вратичката RUSTYSHADE, и пряк път (shortcut), маскиран като PDF документ.

Изследователите оценяват с висока степен на увереност, че отварянето на пряка пътека задейства архивираната вратичка след извличането ѝ, превръщайки сменяемия носител в механизъм за доставка.

RUSTYMOVE проследява уникалния идентификатор на устройството, така че да не копира многократно едни и същи файлове. Той няма вграден мрежов канал за команди или собствен скрит зловреден код, което подсказва, че неговата тясна роля е просто да разпространява атаката.

Подобен прийом, базиран на USB, бе използван и в кампанията SnakeDisk на Mustang Panda, което подчертава защо изолацията сама по себе си не е пълна защита.

APT36 също така създаде насрочена задача (scheduled task), задействана при влизане в системата, озаглавена StandAloneOneDriveUpdater-2626, за да стартира инструмента и да го накара да изглежда като модул за актуализация.

Защитниците трябва да ограничат сменяемите носители на чувствителни системи, да изискват одобрени и сканирани устройства и да разследват неочаквани файлове с пряк път, архиви и насрочени задачи, работещи от публични потребителски директории.

Вратичка (Backdoor) и инструменти за кражба на данни

USB компонентът работи съвместно с RUSTYSHADE – 64-битова вратичка на Rust, която използва контролирани от атакуващите частни хранилища в GitHub за команди и откраднати данни.

Той криптира комуникациите, позволявайки на оператора да изисква списъци с директории, да изпълнява шел команди, да прави екранни снимки, да заснема изображения от уебкамерата и да качва файлове.

Използването на платформа за разработка като канал за управление може да затрудни мониторинга, ако организациите третират целия трафик към GitHub като безвреден. Тази техника се появява в редица кампании, включително тези с злоупотреба с инфраструктурата на GitHub, което прави прегледа на достъпа до API на хранилищата от изключителна важност.

APT36 също така използва PSNATCH за Windows и BASHNATCH за Linux за търсене във папки, букви на сменяеми устройства и скорошни файлове, преди да изпрати данните към частни хранилища.

PSNATCH ограничава събирането според размера на файла и проследява предварително качените материали, което му помага да прави по-малки последващи трансфери, вместо да взема едни и същи данни отново и отново.

След получаване на достъп операторите изпълняват команди за идентифициране на потребители, процеси, свързани машини, споделени ресурси и достъпни системи.

След това те тестват мрежовите услуги и опитват връзки към отдалечени административни споделени ресурси – последователност, която показва, че кампанията е проектирана да се разпростре отвъд първата си жертва.

Екипите по сигурност трябва да блокират изброените домейни и URL адреси, да търсят посочените артефакти и да проверяват необичайна PowerShell активност, използване на GitHub API и съмнителни изтегляния от облачни хранилища.

Мрежовата сегментация и контролът върху сменяемите носители са от изключително значение там, където правителствени или отбранителни системи трябва да останат офлайн.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно решаване на имена или създаване на хипервръзки. Възстановете ги само в рамките на контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.