Operation RapidRust macht private GitHub-Repositories zum Kontrollkanal für Spionage

Transparent Tribe hat bei Angriffen auf Regierungs- und Verteidigungsorganisationen in Indien und Afghanistan eine neue Rust-basierte Backdoor sowie plattformübergreifende Tools zum Diebstahl von Dateien eingesetzt.

Die auch als APT36 und Earth Karkaddan bekannte, Pakistan nahestehende Bedrohungsgruppe nutzt von den Angreifern kontrollierte private GitHub-Repositories, um verschlüsselte Befehle auszutauschen, Informationen zur Systemaufklärung zu sammeln und Dateien zu exfiltrieren. Typosquatting-Domains, die indische Nachrichtenorganisationen imitieren, unterstützen die Infrastruktur zur Auslieferung der Payloads.

Zscaler ThreatLabz bezeichnete die Aktivitäten als Operation RapidRust und identifizierte vier zuvor nicht dokumentierte Tools: RUSTYSHADE, RUSTYMOVE, PSNATCH und BASHNATCH. Gemeinsam ermöglichen sie Fernzugriff, Überwachung, den Diebstahl von Dokumenten und die Verbreitung über Wechseldatenträger.

GitHub wird zur Kommunikationsschicht der Backdoor

RUSTYSHADE ist ein in Rust geschriebener Implant, der über die GitHub REST API kommuniziert. Statt eine herkömmliche Command-and-Control-Infrastruktur zu kontaktieren, liest und aktualisiert er bestimmte Dateien innerhalb eines von den Angreifern kontrollierten privaten Repositorys.

Jede Datei erfüllt eine festgelegte operative Funktion:

• command.txt enthält verschlüsselte Anweisungen des Operators.
• results.txt nimmt die verschlüsselte Ausgabe ausgeführter Befehle auf.
• info.txt speichert Informationen zur Aufklärung des infizierten Systems.
• heartbeat.txt dient als Keepalive-Signal.
• screenshot.png enthält eine verschlüsselte Aufnahme des Desktops.
• webcam_photo.jpg enthält ein verschlüsseltes Webcam-Bild.
• download.bin enthält verschlüsselte Daten aus ausgewählten Dateien.

Diese Konstruktion schafft einen bidirektionalen Kontrollkanal innerhalb einer legitimen Cloud-Infrastruktur. Sicherheitskontrollen, die GitHub-Datenverkehr zulassen, sehen daher möglicherweise Anfragen an einen vertrauenswürdigen Dienst statt einer offensichtlichen Verbindung zu einem von Angreifern betriebenen Server.

Private Repositories schränken zudem die Sichtbarkeit der ausgetauschten Dateien für Außenstehende ein. Endpoint- und Netzwerk-Telemetrie kann eine ungewöhnliche Nutzung der GitHub API jedoch weiterhin sichtbar machen – insbesondere auf Systemen, durch Benutzer oder von Prozessen, die normalerweise nicht mit Softwareentwicklungsdiensten interagieren.

RUSTYSHADE kann im Hintergrund Befehle ausführen, Dateien manipulieren, Screenshots erstellen und Webcam-Aufnahmen anfertigen. Damit verfügen die Operatoren nach dem Erstzugriff sowohl über Funktionen zur Fernadministration als auch zur Überwachung.

Die Architektur weist teilweise Ähnlichkeiten mit GITSHELLPAD auf, einem in Golang geschriebenen Implant, das im Rahmen der Kampagne Gopher Strike im September 2025 beobachtet wurde. Beide nutzen Repository-Dateien für die bidirektionale Kommunikation, ein direkter Zusammenhang zwischen dem Code wurde jedoch nicht festgestellt.

Stealer für Windows und Linux suchen nach aktuellen Dateien

Operation RapidRust umfasst dedizierte Komponenten zur Dateisammlung für die beiden wichtigsten Desktop-Betriebssystemfamilien.

PSNATCH ist ein PowerShell-Stealer für Windows. Er durchsucht vorab festgelegte Verzeichnisse rekursiv nach verschiedenen Arten von Informationen, darunter:

• Microsoft-Office-Dokumente
• Bild- und Mediendateien
• Komprimierte Archive
• Ausführbare Dateien und Skripte
• Datenbankdateien

Die Suche konzentriert sich auf Dateien, die innerhalb der vergangenen drei Monate geändert wurden. PSNATCH lädt das gesammelte Material in ein privates Repository hoch, dessen Name auf dem kompromittierten Computer basiert.

Der Stealer unterliegt zwei Beschränkungen bei der Sammlung: Einzelne Dateien dürfen höchstens 1 GB groß sein, und bei einer Ausführung können insgesamt höchstens 5 GB hochgeladen werden. Diese Schwellenwerte liefern Verteidigern nützliche Parameter für die Suche, wobei auch Übertragungen mit geringerem Volumen relevant sein können.

BASHNATCH erfüllt unter Linux mithilfe eines Bash-Skripts eine entsprechende Funktion. Sein Auftreten zeigt, dass die Kampagne nicht auf Windows-dominierte Regierungsumgebungen beschränkt ist, sondern auch Daten von Linux-Hosts sammeln kann, die im Verlauf eines Eindringens erreicht werden.

Nach der Kompromittierung führen die Operatoren eine Aufklärung von System, Benutzern und Netzwerk durch, bevor sie zusätzliche Payloads einschleusen. Diese Abfolge kann dabei helfen, bösartigen GitHub-Datenverkehr von legitimer Entwicklungsaktivität zu unterscheiden: Aufklärungsbefehle, gefolgt von der Ausführung von Skripten, neuen Payloads und Zugriffen auf private Repositories, ergeben ein stärkeres Signal als jedes einzelne Ereignis für sich.

RUSTYMOVE verbreitet Infektionen über Wechseldatenträger

Das vierte Tool, RUSTYMOVE, ist ein schlankes 64-Bit-Programm für Windows, das in Rust geschrieben wurde. Es wurde entwickelt, um vorbereitete bösartige Dateien über Wechselspeicher zu verbreiten.

RUSTYMOVE prüft kontinuierlich mithilfe eines PowerShell-Skripts, ob externe Laufwerke angeschlossen sind. Erkennt das Tool ein solches Laufwerk, legt es zwei Dateien im Stammverzeichnis des Geräts ab:

• DriverInstaller.zip, das RUSTYSHADE enthält
• DocScanner-11-Aug-2026-5-37pm.pdf.LNK

Die Datei .LNK enthält vermutlich einen Befehl, der RUSTYSHADE nach dem Entpacken startet. Ihr Dateiname verwendet ein Muster mit doppelter Erweiterung, das wie ein PDF-Dokument wirken soll, tatsächlich aber eine Windows-Verknüpfung ist.

Über diese Verbreitungsmethode kann das Implant in Netzwerke gelangen, in denen eine direkte Auslieferung über das Internet schwierig oder besonders stark überwacht wird. Außerdem entsteht ein Risiko für nicht mit dem Internet verbundene oder eingeschränkte Systeme, wenn Mitarbeiter Wechseldatenträger zwischen mehreren Rechnern verwenden.

Die verfügbaren Erkenntnisse zeigen nicht, ob die kopierten Dateien automatisch ausgeführt werden. Möglicherweise sind weiterhin eine Benutzeraktion oder ein anderer Ausführungsmechanismus erforderlich.

Typosquatting-Domains von Nachrichtenportalen unterstützen die Payload-Auslieferung

Die Angreifer registrierten Domains, die bekannten indischen Medienwebsites ähneln. Zwei identifizierte Beispiele sind:

• theprints[.]org, das The Print unter theprint[.]in imitiert
• indiatodays[.]org, das India Today unter indiatoday[.]in imitiert

Auf den täuschenden Domains wurden bösartige PowerShell-Skripte und Payloads gehostet. Ihre Namen könnten Links für Zielpersonen glaubwürdig erscheinen lassen, die daran gewöhnt sind, regionale Nachrichten zu lesen. Von den legitimen Websites unterscheiden sie sich nur durch geringfügige Änderungen der Schreibweise und der Top-Level-Domain.

Ein GitHub Gist wurde ebenfalls zur Auslieferung einer Komponente zum Dateidiebstahl verwendet. Damit missbraucht die Kampagne GitHub nicht nur für die Kommunikation mit der Backdoor, sondern auch für die Verteilung von Payloads.

Ein erheblicher Teil der beobachteten Aktivitäten fand vom 20. August bis zum 1. September 2026 statt. In diesem Zeitraum erschienen Command-and-Control-Anweisungen ausschließlich an Werktagen und zwischen 4:00 und 11:00 Uhr UTC.

Dieser Zeitplan kann bei rückblickenden Untersuchungen hilfreich sein, sollte jedoch nicht zu einer starren Erkennungsregel werden. Operatoren können ihre Arbeitszeiten ändern, Aktivitäten automatisieren oder die Kampagne nach einem anderen Zeitplan fortsetzen.

Die Operation folgt auf eine weitere Kampagne, die die Acronis Threat Research Unit Transparent Tribe zugeschrieben hat. Diese Aktivität richtete sich mit einer Backdoor namens PATCHCORD gegen afghanische Telekommunikationsanbieter und Organisationen kritischer Infrastrukturen in Südasien. Operation RapidRust fügt sich damit in ein breiteres Muster anhaltender Nachrichtengewinnung gegen Ziele aus Regierung, Verteidigung, Telekommunikation und kritischer Infrastruktur in der Region ein.

Wonach Verteidiger suchen sollten

Für Operation RapidRust gibt es keinen Hersteller-Patch und kein Remediation-Paket, da die Aktivitäten nicht mit einer offengelegten Software-Schwachstelle zusammenhängen. Es wurden keine CVE-Kennungen, betroffenen Produktversionen, CVSS-Werte oder formalen Schweregrade gemeldet.

Die Eindämmung hängt stattdessen von der Überwachung der Endpoints, Netzwerkkontrollen, der Überprüfung von Zugangsdaten und der Entfernung der bösartigen Komponenten ab. Verteidiger sollten folgende Maßnahmen priorisieren:

1. Unnötigen Zugriff auf GitHub einschränken. Die Nutzung privater Repositories, von Gists und der GitHub REST API durch Endpoints überwachen, für die kein dokumentierter geschäftlicher Bedarf besteht.

2. Nach Repository-Artefakten von RUSTYSHADE suchen. Zugriffe auf command.txt, results.txt, info.txt, heartbeat.txt, screenshot.png, webcam_photo.jpg oder download.bin untersuchen – insbesondere, wenn mehrere dieser Dateien in derselben Abfolge auftreten.

3. Skriptaktivitäten überprüfen. Die Ausführung von PowerShell und Bash im Zusammenhang mit rekursiven Dateisuchen, der Filterung aktueller Dateien, heruntergeladenen Payloads oder wiederholten Prüfungen auf Wechseldatenträger untersuchen.

4. Typosquatting-Domains blockieren und untersuchen. Jede Kommunikation mit theprints[.]org oder indiatodays[.]org sollte als verdächtig eingestuft und auf den Abruf von Payloads untersucht werden.

5. Wechseldatenträger überwachen. Nach DriverInstaller.zip und DocScanner-11-Aug-2026-5-37pm.pdf.LNK suchen, die in den Stammverzeichnissen externer Laufwerke auftauchen.

6. Ungewöhnliche Upload-Volumina überprüfen. Übertragungen von annähernd 1 GB pro Datei oder 5 GB pro Ausführung verdienen besondere Aufmerksamkeit, insbesondere wenn sie über GitHub-bezogene Dienste erfolgen.

7. Aufklärung und nachfolgende Bereitstellung korrelieren. Eine Systemaufzählung, die Ermittlung von Benutzern und die Untersuchung des Netzwerks, gefolgt von neuen Skripten oder Verbindungen zur GitHub API, können auf eine aktive Kompromittierung hindeuten.

Betroffene Organisationen sollten außerdem den Webcam-Zugriff, die Erstellung von Screenshots, die Offenlegung von Zugangsdaten und die Zwischenlagerung von Daten untersuchen. Die Entfernung einer einzelnen Payload reicht möglicherweise nicht aus, wenn die Angreifer bereits einen weiteren Persistenzmechanismus eingerichtet oder wiederverwendbare Zugangsdaten erlangt haben.

Operation RapidRust zeigt ein auf gewöhnlichen Cloud-Diensten basierendes Toolset statt einer auffälligen, eigens entwickelten Infrastruktur. Um die Aktivitäten zu erkennen, muss darauf geachtet werden, wie vertrauenswürdige Dienste genutzt werden – und nicht nur darauf, ob diese Dienste grundsätzlich erlaubt sind.