APT36: Operacija RapidRust isporučuje 4 zlonamjerna softvera

Operacija RapidRust razotkriva da zlonamjerni akter APT36 primjenjuje prikriveni pristup zasnovan na programskom jeziku Rust, oslanjajući se na lične pristupne tokene za GitHub i šifrovanje za bezbjednu komunikaciju, uz mehanizam širenja putem USB uređaja radi prodiranja u izolovane mreže i zaobilaženja strogo kontrolisanih sistema. Pokretanje prikrivenog izvlačenja podataka putem postepenog prenošenja datoteka i iskorištavanja fizičkih uređaja nagovještava strateški zaokret ka hibridnim vektorima napada usmjerenim na nedovoljno obezbijeđene krajnje tačke.

APT36 I OPERACIJA RAPIDRUST

Kampanja zlonamjernih aktera APT36 koristi GitHub lični pristupni token (eng. personal access token – PAT) i bočno kretanje putem USB uređaja, upisujući zlonamjerni softver u prenosive uređaje radi zaobilaženja mrežne odbrane, pri čemu svaki prodor iskorištava kako digitalne, tako i fizičke ranjivosti.

Ove ranjivosti omogućavaju zlonamjernim akterima da, putem šifrovanih C2 kanala zlonamjernog softvera RUSTYSHADE i postepene krađe podataka pomoću alata PSNATCH, primijene pristup osmišljen za prikrivenost, dok širenje sprovodi komponenta RUSTYMOVE održava postojanost koja proizilazi iz određene strateške ravnoteže.

Navedena ravnoteža između tehničke složenosti i operativne jednostavnosti ogleda se u dvostrukom oslanjanju na prethodno definisane veze i neobezbijeđene krajnje tačke, a razvoj ove kampanje ukazuje na rastući trend hibridnih prijetnji, u kojem se fizički i digitalni vektori napada međusobno prepliću.

 

Tajni pristup i šifrovana komunikacija

Zlonamjerni akteri APT36 u kampanji Operacija RapidRust koristi repozitorije na platformi GitHub kao kanal za komandovanje i upravljanje (C2) za RUSTYSHADE, zlonamjerni softver zasnovan na programskom jeziku Rust. Ovaj zlonamjerni softver koristi prethodno definisani GitHub lični pristupni token (PAT) za provjeru identiteta, omogućavajući šifrovanu komunikaciju putem GitHub REST API okruženja.

Ovakav pristup omogućava zlonamjernim akterima da izdaju naredbe i preuzimaju podatke bez oslanjanja na tradicionalnu C2 infrastrukturu, prikrivajući zlonamjerne aktivnosti unutar stvarnog GitHub saobraćaja. Korištenje platforme GitHub kao C2 kanala u okviru Operacije RapidRust naglašava prilagodljivost grupe APT36, koja iskorištava povjerljive servise radi izbjegavanja otkrivanja, pri čemu je pomenuti token ugrađen u nešifrovanom obliku unutar binarne datoteke, što predstavlja kritičnu ranjivost koja bi se mogla iskoristiti ukoliko dođe do ugrožavanja tokena.

Uprkos toj potencijalnoj slaboj tački, proces šifrovanja u Operaciji RapidRust primjenjuje AES-256-GCM algoritam radi osiguravanja C2 poruka, čime se garantuju povjerljivost i integritet. Alat RUSTYSHADE izvodi 32-bajtni AES ključ iz SHA256 haš vrijednosti pomenutog tokena, a zatim formira 12-bajtni jednokratni broj koristeći funkciju BcryptGenRandom.

Nakon toga, običan tekst se pretvara u šifrovani tekst i oznaku provjere identiteta, prije Base64 kôdiranja, a dobijena poruka dobija prefiks kako bi se razlikovala od običnog saobraćaja. Ovaj kriptografski pristup otežava forenzičku analizu, jer šifrovani paketi podataka djeluju kao normalne operacije sa datotekama na platformi GitHub, što pokazuje upornost i fokus grupe APT36 na prikrivenost, u skladu sa njenom širim strategijom usmjerenom na državne i odbrambene entitete u Indiji i Avganistanu.

Pomenuta strategija usmjerena na dugoročnu prisutnost direktno se ogleda u modelu izvršavanja naredbi alata RUSTYSHADE unutar Operacije RapidRust, koji se oslanja na određena imena datoteka u GitHub repozitoriju radi sinhronizacije radnji između inficiranog uređaja i zlonamjernih aktera. Datoteka Command.txt čuva šifrovane instrukcije, koje RUSTYSHADE periodično provjerava i dešifruje koristeći ključ izveden iz tokena, a format naredbi prati šablon koji između ostalog sadrži instrukcije za snimanje ekrana ili za izvlačenje datoteka.

Nakon izvršavanja tih instrukcija, zlonamjerni softver šalje šifrovane rezultate u datoteku results.txt, stvarajući povratnu informaciju za operacije nakon ugrožavanja. Ovakav strukturirani pristup omogućava grupi APT36 da održi dugoročan pristup, što je vidljivo kroz održivu aktivnost Operacije RapidRust između avgusta 2026. i septembra 2026. godine, a oslanjanje na GitHub API i napredno šifrovanje osigurava operativnu otpornost na metode otkrivanja zasnovane na mrežnom saobraćaju.

 

Mehanizam širenja putem USB medija

RUSTYMOVE je 64-bitni softver za Windows korišten tokom Operacije RapidRust, čija je namjena da neprekidno nadzire spoljne prenosive uređaje radi širenja zlonamjernog softvera. Koristi prethodno definisanu listu unaprijed pripremljenih zlonamjernih datoteka, uključujući ZIP arhivu koja sadrži RUSTYSHADE i .LNK datoteku osmišljenu za pokretanje zlonamjernog softvera svjesnom radnjom korisnika, što zahtijeva pouzdan mehanizam za otkrivanje dostupnih prenosivih uređaja.

Za otkrivanje tih uređaja, RUSTYMOVE koristi PowerShell skripte za prepoznavanje USB medija, SD kartica i drugih prenosivih uređaja ispitivanjem karakteristika diska i identifikatora BusType. Svaki otkriveni medij provjerava se na prisustvo postojećih kopija zlonamjernih datoteka, čime se osigurava da do širenja dolazi isključivo ukoliko te datoteke nedostaju. Ovaj mehanizam omogućava zlonamjernim akterima APT36 da zaobiđe fizički izolovane mreže oslanjanjem na fizičke medije, što je taktika koja se savršeno uklapa u naglasak Operacije RapidRust na prikrivenom bočnom kretanju.

Takvo prikriveno bočno kretanje zahtijeva i diskretan način pokretanja samog alata, pa se izvršavanje softvera RUSTYMOVE tokom Operacije RapidRust vrši putem planiranog zadatka pod nazivom StandAloneOneDriveUpdater-2626, koji se predstavlja kao zvanični Microsoft servis. Ovaj alat bilježi status širenja u datoteci log.txt, bilježeći da li su datoteke kopirane ili su otkrivene prethodne infekcije.

Ovo bilježenje pomaže zlonamjernim akterima APT36 da prate širenje svog zlonamjernog softvera preko nepovezanih sistema bez potrebe za mrežnom C2 komunikacijom. Oslanjanje na prethodno određene putanje i unaprijed pripremljene datoteke ukazuje na ranu fazu razvoja zlonamjernog softvera RUSTYMOVE, što je u skladu sa razvojem taktika zlonamjernog aktera APT36 u Operaciji RapidRust. Izostanak šifrovanja ili ugrađenih paketa podataka dodatno naglašava njegovu ulogu jednostavnog, ali efikasnog posrednika zasnovanog na USB medijima za dublje širenje infekcije.

 

Mehanizmi preuzimanja datoteka

PSNATCH je zlonamjerni softver zasnovan na PowerShell okruženju i korišten tokom Operacije RapidRust za detaljan pregled prethodno definisanih direktorijuma kao što su Desktop, Downloads i OneDrive, pri čemu se usmjerava na datoteke čije se ekstenzije vezuju za osjetljive vrste podataka, što zahtijeva pouzdan mehanizam za prepoznavanje ciljanih informacija.

Radi prepoznavanja tih informacija, alat koristi prethodno definisani GitHub lični pristupni token (PAT) za provjeru identiteta i otpremanje podataka u privatne repozitorijume zlonamjernih aktera, oslanjajući se pri tome na GitHub Contents API sa prilagođenim zaglavljem User-Agent. Svaki inficirani uređaj formira jedinstveni repozitorijum, a preneseni sadržaj raspoređuje se u direktorijume označene datumom. Primjena postepenog otpremanja u ovoj kampanji osigurava da se šalju samo nedavno izmijenjene datoteke, čime se smanjuje rizik od otkrivanja uz održavanje stalnog prikupljanja podataka.

Stalno prikupljanje podataka ne ograničava se samo na Windows sisteme, već se BASHNATCH, Linux ekvivalent alata PSNATCH u okviru Operacije RapidRust, oslanja na isti pristup pregledavanjem odgovarajućih direktorija i vrsta datoteka na Linux platformama. Ovaj softver koristi lokalnu datoteku za praćenje na putanji ~/.local/share/SmartUploader/uploaded_files.json kako bi izbjegao ponovno slanje prethodno preuzetih podataka, čime se osigurava efikasnost cijelog procesa.

Efikasnost procesa odražava upornost zlonamjernih aktera APT36, pri čemu oba alata iskorištavaju infrastrukturu platforme GitHub za mješanje zlonamjernih aktivnosti sa uobičajenim ponašanjem korisnika. Primjena mehanizama za pregledanje i slanje datoteka u okviru sistema naglašava razvoj taktika ove grupe prilikom napada na vladine i odbrambene mreže.

 

Mapiranje mreže i bočno kretanje

Operacija RapidRust grupe APT36 primjenjuje sistematsko mapiranje mreže radi prepoznavanja aktivnih domaćina i SMB dijeljenja, oslanjajući se na naredbe poput arp -a, ping -n 1 i net view za pregled lokalnih podmreža. PowerShell skripte automatizuju otkrivanje aktivnih domaćina, dok nbtstat -A [IP] razrješava NetBIOS imena ciljanih sistema, čime se stvara detaljna mapa unutrašnje infrastrukture.

Na osnovu te mape, grupa otkriva potencijalne putanje bočnog kretanja i daje prioritet sistemima sa izloženim SMB dijeljenjima radi iskorištavanja. Ciljanje portova 445 (SMB) i 135 (RPC) naglašava namjeru zlonamjernih aktera da iskoriste uobičajene mrežne servise za dalju infekciju, pri čemu se usmjerava na najranjivije tačke unutar mreže.

Takvo usmjeravanje na ranjive tačke dopunjeno je preciznim geografskim ciljanjem, pa se u okviru Operacije RapidRust koriste javna API okruženja za izdvajanje spoljne IP adrese i geografskih koordinata inficiranog uređaja. Podaci prikupljeni tokom izviđanja nakon ugrožavanja pomažu zlonamjernim akterima APT36 da povežu mrežnu infrastrukturu sa fizičkim lokacijama, potencijalno otkrivajući veoma vrijedne ciljeve u Indiji i Afganistanu.

Otkrivanje tih vrijednih ciljeva usmjerava dalje pokušaje bočnog kretanja koji se izvršavaju nakon provjere aktivnosti domaćina i otvorenih portova, što odražava proračunat pristup za povećanje nivoa ovlaštenja i širenje kroz segmentirane mreže. Dokumentovane radnje u ovoj kampanji ističu prilagodljivost grupe u iskorištavanju i digitalnih i fizičkih karakteristika mreže radi održavanja dugoročnog pristupa.

 

APT36 GRUPA

Grupa APT36, poznata i kao Transparent Tribe, predstavlja naprednu trajnu prijetnju iz Pakistana čije djelovanje prati državne interese. Od 2013. godine sprovodi sajber špijunažu protiv indijskih državnih, vojnih i infrastrukturnih entiteta, uz povremeno ciljanje subjekata u Aziji, Evropi i Sjevernoj Americi.

Takvo regionalno djelovanje podstaklo je prelazak sa klasičnih kampanja neželjenom poštom na složenije metode. Grupa sada iskorištava geopolitičke događaje i formira lažne vladine portale za distribuciju alata poput Crimson RAT radi krađe pristupnih podataka. Paralelno, grupa APT36 razvija zlonamjerni softver namijenjen različitim operativnim sistemima, koristeći udaljene servise za komunikaciju sa komandnim serverima kako bi održala neprekidnu prisutnost izvan prvobitne namjene.

Neprekidna prisutnost direktno služi strateškim ciljevima Pakistana u špijuniranju indijske odbrane i diplomatije, što potvrđuju ranije operacije poput Honey Trap. Njihov skup alata obuhvata raznovrsne softvere za daljinski pristup i zlonamjerne module za mobilne uređaje, uključujući najnovije verzije za Linux, čime se dokazuje njihova stalna prilagodljivost i tehnički napredak.

Ta stalna prilagodljivost čini grupu APT36 izuzetno otpornom, jer koristi ovlašćene servise i provjere vremenskih zona radi izbjegavanja otkrivanja. Nedavne operacije naglašavaju pomak ka širem angažovanju sektora uz zadržavanje osnovnog cilja špijunaže, što je potvrđeno prikupljanjem osjetljivih vojnih i političkih podataka, kao i podataka iz internet pregledača, putem šifrovanih kanala.

 

ZAKLJUČAK

Operacija RapidRust grupe APT36 otkriva proračunat operativni ritam, pri čemu se naredbe izdaju isključivo između 4:00 i 11:00 sati po UTC vremenu, što ukazuje na namjerno usklađivanje sa vremenskim zonama ciljeva. Ovakvo vremensko određenje, u kombinaciji sa aktivnošću C2 komunikacije isključivo tokom radnih dana, naglašava strateški napor da se izbjegne otkrivanje tokom perioda najintenzivnijeg mrežnog nadzora, ostavljajući prostor za diskretne metode manipulacije korisnicima.

Upravo ta manipulacija korisnicima ostvaruje se korištenjem domena sa namjerno pogrešnim nazivima (eng: typosquatting) koji oponašaju indijske informativne portale, ugrađivanjem zlonamjernih PowerShell skripti u prividno autentične sadržaje. Ova taktika ne samo da izmiče provjeri, već i postavlja temelje za dugoročnu prisutnost kroz određenu infrastrukturu, osiguravajući stabilnu osnovu za daljnje aktivnosti.

Takva stabilna osnova za daljnje aktivnosti oslanja se na platformu GitHub i za C2 komunikaciju i za izvlačenje podataka, što odražava širi trend zlonamjernih aktera koji iskorištavaju infrastrukturu u oblaku radi održivosti. Prethodno određeni lični pristupni tokeni (PAT) i šifrovani protokoli komunikacije pokazuju ravnotežu između operativne efikasnosti i prikrivenosti, čime se smanjuju mrežne anomalije, iako ova strategija istovremeno otkriva određena ograničenja u zrelosti alata.

Ograničenja u zrelosti alata postaju očigledna kroz oslanjanje na određene putanje datoteka i unaprijed pripremljeni zlonamjerni softver, što ukazuje na ranu fazu razvoja u kojoj komponente poput RUSTYMOVE ostaju funkcionalno ograničene. Ova karakteristika ukazuje na moguću evoluciju alata grupe APT36 tokom vremena, pri čemu komponente u ranoj fazi daju prednost bočnom kretanju u odnosu na napredne metode izbjegavanja otkrivanja, usmjeravajući fokus na širenje unutar mreže.

Težište na širenje unutar mreže direktno se nadovezuje na metodične aktivnosti koje slijede nakon uspješnog prodiranja u sistem, poput mapiranja mreže i geolokacijskih upita, čime se otkriva sistematičan pristup širenju unutar segmentiranih okruženja. Ispitivanjem portova SMB i RPC, zlonamjerni akteri APT36 prepoznaju ranjive sisteme za bočno kretanje, dok planirani zadaci nazvani tako da oponašaju Microsoft servise osiguravaju dugoročnu prisutnost, čime se zatvara krug izviđanja i iskorištavanja.

Zatvaranje tog kruga izviđanja i iskorištavanja vidljivo je u kombinaciji sa postepenim izvlačenjem datoteka putem alata PSNATCH i BASHNATCH, što ilustruje slojevitu strategiju koja objedinjuje izviđanje, dugoročnu prisutnost i preuzimanje podataka. Izostanak mrežne komunikacije u alatu RUSTYMOVE dodatno naglašava modularni dizajn, u kojem komponente rade nezavisno jedna od druge radi smanjenja rizika.

 

PREPORUKE

Operacija RapidRust ukazuje na rastuću složenost zlonamjernog softvera i taktike zlonamjernog aktera APT36, naglašavajući potrebu za proaktivnim strategijama odbrane. Korištenje platforme GitHub za komunikaciju sa komandno-kontrolnim serverima, šifrovano izvlačenje podataka i bočno kretanje putem USB uređaja ukazuje na kritične ranjivosti u bezbjednosti krajnjih tačaka i mreže. Otklanjanje ovih rizika zahtijeva sveobuhvatan pristup prilagođen specifičnim alatima i ponašanju uočenom tokom Operacije RapidRust, u čemu mogu pomoći sledeće preporuke:

1. Organizacije trebaju sprovoditi stalno praćenje GitHub naloga i repozitorijuma radi otkrivanja sumnjivih aktivnosti, poput neočekivanih izmjena kôda ili pristupa sa nepoznatih IP adresa. Korištenje privatnih repozitorijuma od strane zlonamjernih aktera APT36 za komandno-kontrolnu komunikaciju u Operaciji RapidRust čini ovo ključnom tačkom za rano otkrivanje.

2. Redovno pregledati sistemske zakazane zadatke radi uočavanja nepravilnosti, kao što su zadaci imenovani tako da oponašaju podrazumjevane servise (npr. StandAloneOneDriveUpdater-2626). Onemogućavanje nepotrebnih zadataka i primjena principa najmanjih privilegija mogu umanjiti rizike postojanosti zlonamjernog softvera.

3. Ograničiti korištenje spoljnih prenosivih medija i sprovesti primjenu bijele liste uređaja. Sposobnost alata RUSTYMOVE za širenje zlonamjernog softvera putem USB memorija u Operaciji RapidRust ističe neophodnost kontrola krajnjih tačaka u sprječavanju neovlaštenog prijenosa podataka.

4. Softveri za otkrivanje i odgovor na prijetnje (eng. Endpoint Detection and Response – EDR) mogu identifikovati i blokirati zlonamjerne procese poput RUSTYMOVE i RUSTYSHADE u stvarnom vremenu, pružajući uvid u bočno kretanje i aktivnosti nakon ugrožavanja sistema.

5. Pratiti neuobičajene GitHub REST API pozive, posebno one koji koriste nestandardne identifikatore korisničkih agenata poput SmartUploader. Ovo može otkriti pokušaje preuzimanja podataka od strane alata PSNATCH ili BASHNATCH.

6. Tražiti periodične obrasce komandno-kontrolne komunikacije, poput ažuriranja datoteke heartbeat.txt u sklopu alata RUSTYSHADE, koja se često dešava u tačno određenim intervalima ili vremenskim okvirima (npr. 4:00–11:00 UTC u Operaciji RapidRust).

7. Korištenje domena koji oponašaju indijske medijske kuće od strane zlonamjernog aktera APT36 radi isporuke zlonamjernih PowerShell skripti zahtijeva edukaciju korisnika kako bi se izbjeglo klikanje na lažne linkove ili preuzimanje neprovjerenih datoteka.

8. Uključiti indikatore ugrožavanja (eng. indicators of compromise – IOC) za RUSTYSHADE, PSNATCH i BASHNATCH u pravila sistema za zaštitu od upada (eng. intrusion prevention systems – IPS) kako bi se blokirao zlonamjerni saobraćaj i preuzimanje datoteka.

9. Rješavati ranjivosti i sigurnosne nedostatke u sistemima i aplikacijama koje bi mogli biti iskorišteni od strane alata i tehnika zlonamjernih aktera APT36, uključujući korištenje zastarjelih ili nesigurnih verzija/protokola poput SMB, kao i zloupotrebu PowerShella za bočno kretanje.

10. Izolovati kritične sisteme i ograničiti bočno kretanje kroz odgovarajuću mrežnu segmentaciju, čime se smanjuje rizik od mrežnog izviđanja i pokušaja uspostavljanja neovlaštenih SMB veza od strane zlonamjernih aktera APT36.

11. Koristiti napredne izvore obavještajnih podataka o prijetnjama radi otkrivanja infrastrukture zlonamjernih aktera APT36, uključujući domene, IP adrese i heš datoteka povezane sa Operacijom RapidRust.

12. Simulirati napade korištenjem taktika zlonamjernih aktera APT36, poput komandno-kontrolne komunikacije putem GitHub platforme ili širenja putem USB uređaja, radi prepoznavanja praznina u mogućnostima otkrivanja i odgovora.

13. Uvoditi monitoring integriteta datoteka (eng. file integrity monitoring – FIM) kako bi se pratile promjene na kritičnim datotekama i direktorijumima radi otkrivanja pokušaja preuzimanja podataka od strane alata PSNATCH ili BASHNATCH.

14. Osigurati da se rezervne kopije redovno testiraju i čuvaju van mreže kako bi se spriječili scenariji slični ucjenjivačkom zlonamjernom softveru u kojima bi alati zlonamjernih aktera APT36 mogli oštetiti ili šifrovati podatke.

15. Prosljeđivati obavještajne podatke o alatima i indikatorima Operacije RapidRust kolegama u industriji radi unapređenja kolektivne odbrane protiv zlonamjernih aktera APT36.

16. Primjenjivati analitiku ponašanja za otkrivanje neobičnih aktivnosti korisnika, poput neočekivanog prijenosa datoteka ili izvršavanja skripti, što bi moglo ukazivati na aktivnost alata PSNATCH ili RUSTYSHADE.

17. Pregledati i ažurirati planove za odgovor na sajber prijetnje sa taktikama uočenim tokom Operacije RapidRust, uključujući korake za izolaciju inficiranih sistema, analizu zlonamjernog softvera i obnovu operacija.

Primjenom ovih preporuka, organizacije mogu značajno smanjiti svoju izloženost prijetnjama istaknutim u Operaciji RapidRust i prilagoditi se evoluirajućim strategijama zlonamjernih aktera APT36.