Группировка Transparent Tribe использует .desktop-файлы для доставки вредоносного ПО DeskRAT на Linux в атаках на индийскую оборонку

Вредонос распространяется через сервер, расположенный по адресу bossmaya[.]xyz, зарегистрированный примерно за девять дней до публичного раскрытия атаки. На этом сервере размещён файл с расширением .desktop размером 1,4 мегабайта. Стандартный файл такого типа весит около ста байт, но здесь увеличение объёма достигнуто за счёт встроенной иконки в формате PNG размером 500 килобайт (для имитации документа) и ненужной padding-заполнителя, чтобы вложение казалось весомым при беглом просмотре. Однако настоящая угроза скрыта в поле Exec=, где размещена команда на языке оболочки bash.

Эта команда представляет собой трёхступенчатый декодер: сначала она обрабатывает 896-символьный блок в формате base64, затем преобразует его из шестнадцатеричного представления с помощью утилиты xxd и, наконец, снова декодирует из base64. В результате получается короткий скрипт для загрузки полезной нагрузки (вредоносного исполняемого файла) с того же сервера. Скрипт использует утилиту curl для получения файла client.txt, затем декодирует его из формата ASCII85 через Python и распаковывает архиватором bzip2. Полученный бинарный файл сохраняется в каталоге /tmp с именем, основанным на временной метке, и запускается в фоновом режиме. Примечательно, что для этого не нужны никакие компиляторы: Python и bzip2 предустановлены во всех современных дистрибутивах Linux.

Конечная полезная нагрузка - это исполняемый файл ELF для архитектуры x86_64 размером более 6 мегабайт, написанный на языке Go версии 1.24.3. Он использует библиотеки gorilla/websocket для организации канала связи и google/uuid для генерации уникальных идентификаторов сессии. После запуска вредонос устанавливает соединение с командным центром (C2) по протоколу WebSocket (протокол двусторонней связи через постоянное соединение) на порт 8080 сервера 85.137.249[.]224, расположенного в Молдове через хостинг-провайдера AlexHost. Для маршрутизации трафика используются четыре домена, которые через HTTP-заголовок Host направляют запросы на этот же IP-адрес. При подключении C2 отправляет приветственное сообщение в формате JSON, где время сервера указано в часовом поясе UTC-7, характерном для западного побережья США. Это необычно для молдавского сервера и может быть либо случайной настройкой, либо попыткой имитации присутствия за океаном.

Специалисты, проводившие анализ, обнаружили серьёзную оплошность в операционной безопасности злоумышленников. В скомпилированном бинарном файле сохранились полные пути к исходному коду, которые ведут к рабочей станции под управлением Windows. Строки из программы содержат пути вида D:/bossmaya/our/newlinuxblkul/client/main.go и C:/Users/hp/go/pkg/mod/… Это прямо указывает, что разработчик работает под именем пользователя hp на диске D: в папке, названной в честь домена доставки. Более того, название каталога our намекает на то, что проект не является индивидуальным - возможно, у группы есть как минимум один соавтор. Такая утечка информации позволяет составить чёткую картину окружения атакующего, вплоть до версий библиотек и способа сборки.

Инфраструктура врага активно развивается: помимо упомянутых четырёх доменов для коммутации трафика, выявлены ещё два домена - forwindowstesting[.]site и forwindowstesting[.]space, зарегистрированные с разницей в несколько минут в конце 2025 года, а также домен vayusena[.]store, имя которого переводится с санскрита как "Военно-воздушные силы" (это прямой намёк на интерес к индийским ВВС). Все эти домены ведут на второй IP-адрес того же провайдера AlexHost, расположенный во Франции. По данным пассивного DNS, группировка использует эту инфраструктуру как минимум с середины 2024 года, ротируя несколько семейств вредоносного ПО.

Анализ предыдущих кампаний APT36 показывает устойчивую связь тем приманок с реальными событиями в отношениях между Индией и Пакистаном. Например, в мае 2025 года после индийских ударов по целям на территории Пакистана в рамках операции "Синдур" злоумышленники использовали документ, озаглавленный "Предупредительные меры в свете операции Синдур". Осенью того же года приманки были посвящены обострению на границе Пакистана и Афганистана, а в апреле 2026 года - уже упомянутому контракту на поставку тралов для танков. Таким образом, каждая новая волна атак синхронизирована с конкретным информационным поводом, повышая вероятность того, что жертва откроет вложение.

Начиная с 2023 года группа экспериментировала с разными технологическими стеками для атак на Linux: сначала использовался Python и PyInstaller, затем недолго применялся инструмент Poseidon, а сейчас основным агентом стал DeskRAT на Go. Windows-версии CrimsonRAT при этом не были заброшены - идёт параллельное развитие обеих платформ. Для оборонного сектора Индии это означает долгосрочную и целенаправленную угрозу, которая затрагивает не только привычные настольные системы, но и серверы и автоматизированные рабочие места на Linux, часто используемые в военных цепочках поставок.

Последствия успешной атаки могут быть очень серьёзными: от кражи документации по боевым машинам до нарушения работы целых подразделений. Учитывая, что группировка действует как минимум с 2016 года и хорошо документирована многими исследователями информационной безопасности, заказчикам систем защиты рекомендуется обратить особое внимание на контроль запуска .desktop-файлов, а также на обнаружение подозрительных сетевых соединений на нестандартных портах с использованием протокола WebSocket. Слабая операционная безопасность злоумышленников, проявившаяся в сохранении путей компиляции, может дать дополнительные зацепки для блокировки будущих вариантов вредоноса, если аналогичные артефакты будут выявлены в других образцах.