Новая программа удалённого доступа RUSTGate распространяется через ярлык под видом PDF о дронах

Заражение начинается с ярлыка, замаскированного под обычный документ в формате PDF. При открытии он запускает системную утилиту, а та скрыто скачивает командный файл с сервера подготовки. Затем этот файл открывает на экране заранее подготовленный документ о сетях дронов. Он отвлекает внимание пользователя, пока в фоне продолжается установка. Одновременно загружается исполняемый модуль с названием, напоминающим службу сетевой диагностики. Он стартует сразу и закрепляется в системе через задание планировщика, которое повторяется каждые пятнадцать минут. После этого командный файл удаляет себя с диска. Метаданные ярлыка, кроме того, указывают на виртуальную среду, что говорит о заблаговременной подготовке инфраструктуры.

Специалисты изучили полученные файлы статически и не запускали ни ярлык, ни командный файл, ни сам модуль. Позднее они отправили несколько совместимых запросов на известный управляющий сервер от имени вымышленного клиента. Сервер принял регистрацию, однако четыре опроса не вернули ни команд, ни полезной нагрузки. Служебные пути исполняемого файла указывают на сборку под одну систему для работы в другой. Внутренние надписи называют продукт RUSTGate версии 2.0 и позиционируют его как корпоративное средство удалённого доступа.

Управление построено на выполнении произвольных команд через системную оболочку. Результат, код завершения и время работы при этом возвращаются оператору. Помимо этого, оператор может записывать свои файлы на машину жертвы по выбранному пути. Передача данных в обратную сторону идёт блоками по десять мегабайт. Автоматический сбор данных работает по умолчанию и повторяется каждые пять минут. Сборщик охватывает двадцать восемь типов расширений: офисные документы, PDF, текстовые и конфигурационные файлы, данные в форматах JSON (текстовый формат обмена данными) и XML, изображения, сжатые архивы и резервные копии. Для каждого обработанного файла программа фиксирует путь, размер, время изменения и контрольную сумму. Благодаря этому она не загружает одно и то же дважды и замечает изменения. Наряду с этим она пропускает системные и временные каталоги, папки средств защиты, кэш браузеров, облачные синхронизации, виртуальные машины, а также среды разработки и игровые каталоги. Такой отбор снижает шум и число ошибок доступа. Однако область сбора не сужается: подходящие файлы на подключённых дисках остаются в зоне интереса.

Идентификатор клиента можно задать вручную, а можно оставить программе. Без ручного значения она берёт имя узла и добавляет к нему случайный набор из ста двадцати восьми бит, приведённый к тридцати двум шестнадцатеричным знакам. В результате каждое новое поколение может создавать отдельную запись на сервере для одной и той же машины. Связь идёт по обычному веб-протоколу в формате JSON. Предусмотрены четыре операции: регистрация узла, получение команды, отправка результата и выгрузка файлов. Сообщения проходят шифрование с общим ключом, который зашит внутрь программы. Внешний транспорт при этом остаётся открытым. Наличия одного образца достаточно, чтобы восстановить общий секрет. Поэтому речь идёт о запутывании сообщений и проверке их целостности, а не о надёжной аутентификации управляющего сервера.

В конце августа 2026 года проверка показала, что сервер принимает произвольный идентификатор клиента. Ни пароля, ни сертификата, ни иных подтверждений подлинности отправителя он не требует. Ответ успешно расшифровался и подтвердил корректность восстановленного ключа и структуры сообщений. Четыре последующих опроса вернули ошибку с пояснением, что команд нет, и указанием интервала опроса в пять минут. За короткое окно наблюдения сервер не передал ни команды, ни файла, ни скрипта, ни ссылки, ни полезной нагрузки второго этапа. Заголовки ответов выдали типовой веб-сервер на языке Python. При этом сервер использовал новый одноразовый номер для каждого ответа и разрывал соединение после обработки запроса.

Точные данные образца встречаются в публичных отчётах песочниц (изолированных сред для анализа), датированных июнем 2026 года. Тем не менее эти записи лишь подтверждают, что образец был доступен публично. Они не устанавливают надёжную связь с известным семейством или конкретным злоумышленником. Открытых отчётов, которые связывали бы название RUSTGate, его протокол и данную цепочку с устоявшимся семейством, найти не удалось. Поэтому внутреннее имя используется описательно, а сама программа оценивается как ранее не документированная или заказная разработка. Дополнительно адреса доставки и управления находятся в одной подсети у одного хостепровайдера. Такая близость говорит об инфраструктурной связи между двумя узлами. Она, однако, не указывает на причастность других арендаторов сети.

Защиту разумно строить вокруг всей цепочки, а не одного файла. Подозрительным признаком стоит считать ярлык с изображением документа, который запускает системную утилиту. Настораживают также запуск скрытой командной оболочки, запись командных файлов и исполняемых модулей во временные каталоги системы и создание задания планировщика, действие которого указывает в тот же каталог. На подозрительной машине полезно сохранить файл состояния программы до устранения последствий. Список отслеженных путей поможет понять, какие файлы программа оценивала или передавала. Сетевая телеметрия по известным парам адрес-порт и четырём путям запросов позволит выявить подготовку, регистрацию, опрос, выдачу результатов и выгрузку. Поскольку управление идёт по открытому протоколу, сохранённые полные пакеты могут пригодиться для ретроспективной расшифровки, если получены целые сообщения.