С августа 2026 года группировка APT36 снова атакует государственные и оборонные организации Индии и Афганистана. Кампания получила название Operation RapidRust. За несколько недель арсенал сменился почти полностью. Управление заражёнными машинами идёт через служебные репозитории GitHub. Документы жертв похищают целыми папками. Отдельная утилита переносит вредоносные файлы на флешки, чтобы добраться до сетей, физически отключённых от интернета.
Описание
Группировка работает без длительных пауз: с января 2026 года, когда о ней писали в прошлый раз, темп атак не снизился. Целями остаются министерства, ведомства и оборонные подрядчики. Для доставки используют регистрацию доменов с опечатками. Адреса отличаются от сайтов популярных индийских изданий одной буквой. Читатель переходит по знакомой ссылке и получает вредоносный сценарий вместо новостей. Дальше этот сценарий незаметно запускает следующий этап заражения.
Главная новинка кампании - программа RUSTYSHADE, по данным Zscaler ThreatLabz. Команды она получает не от обычного сервера, а из закрытого репозитория на GitHub. Переписка шифруется, поэтому стороннему наблюдателю всё выглядит как рутинная работа с кодом. Программа умеет снимать скриншоты, делать снимки через веб-камеру, читать файлы на диске и выполнять произвольные команды. Связь построена на текстовых файлах внутри репозитория. В одном лежат задания, во втором заражённая машина оставляет ответы. Такой канал почти не отличается от обычного трафика разработчиков.
Отдельное направление - массовый сбор данных. Инструмент PSNATCH обходит рабочий стол, папки загрузок и документов, вложения облачного хранилища и подключённые диски. Его интересуют документы, таблицы, изображения, архивы, базы данных и исполняемые файлы, изменённые за последние четыре месяца. Найденное уходит в личный репозиторий, названный по имени заражённого компьютера. Повторные запуски отправляют только новые и изменённые файлы. Утечка растягивается на недели и остаётся незаметной. Для серверов под управлением Linux предусмотрен вариант BASHNATCH - тот же сценарий на языке командной оболочки.
Третья разработка, RUSTYMOVE, отвечает за распространение. Утилита следит за подключением внешних накопителей и копирует на них два заранее подготовленных файла. Один представляет собой архив с программой RUSTYSHADE, второй - ярлык с правдоподобным именем документа. Когда сотрудник вставляет такой носитель в компьютер закрытого сегмента и открывает ярлык, заражение начинается заново. Так атакующие пытаются преодолеть изоляцию сетей, у которых нет выхода в интернет.
После закрепления в системе операторы действуют по порядку. Сначала выясняют, под какой учётной записью работают, какие у неё права, какие процессы запущены. Затем сканируют локальную сеть: перебирают адреса, ищут активные компьютеры, изучают доступные сетевые папки. Отдельный шаг - проверка открытых портов на соседних узлах, чтобы подобрать цель для бокового перемещения. Дополнительно программа определяет географическое положение заражённого компьютера по внешнему адресу. Активность шла только по рабочим дням, с четырёх до одиннадцати часов утра по Гринвичу.
Для закрепления атакующие создают задачи в планировщике Windows. Их имена имитируют обновления OneDrive и браузера Edge. Пользователь и даже администратор видят привычные строки в списке и редко проверяют их содержимое. Перед уходом операторы подчищают следы: удаляют архивы и исполняемые файлы предыдущих версий, переименовывают оставшиеся. Инфраструктура кампании держится на легальных сервисах - GitHub, облачном хранилище Backblaze, регистраторе NameCheap. Заблокировать их целиком нельзя, а вычислить вредоносный трафик внутри разрешённого непросто.
Ущерб измеряется не только украденными документами. Заражение изолированного сегмента оборонного предприятия открывает доступ к конструкторской документации, служебной переписке и внутренним системам. Для ведомств Индии и Афганистана риск выше ещё и потому, что цели определены заранее, а не выбраны случайно.
Меры защиты остаются прежними. Нужно обновлять операционную систему и офисные пакеты, ограничивать подключение личных накопителей на рабочих местах, проверять список задач в планировщике на незнакомые записи. Токены доступа к репозиториям лучше хранить вне кода и регулярно менять. Сотрудникам, работающим с документами ограниченного доступа, полезно знать, что ярлык на внешнем носителе может запускать программу, а не открывать файл.
Индикаторы компрометации
