L’operazione RapidRust trasforma i repository GitHub privati in un canale di controllo per lo spionaggio

Transparent Tribe ha distribuito un nuovo backdoor basato su Rust e strumenti multipiattaforma per il furto di file, in attacchi contro organizzazioni governative e della difesa in India e Afghanistan.

Il gruppo di minacce allineato al Pakistan, noto anche come APT36 ed Earth Karkaddan, utilizza repository GitHub privati controllati dagli attaccanti per scambiarsi comandi crittografati, raccogliere dati di ricognizione ed esfiltrare file. Domini typosquatting che imitano organizzazioni d’informazione indiane supportano l’infrastruttura di distribuzione dei payload della campagna.

Zscaler ThreatLabz ha denominato l’attività Operation RapidRust e ha identificato quattro strumenti finora mai documentati: RUSTYSHADE, RUSTYMOVE, PSNATCH e BASHNATCH. Nel loro insieme, consentono l’accesso remoto, la sorveglianza, il furto di documenti e la propagazione tramite unità rimovibili.

GitHub diventa il livello di comunicazione del backdoor

RUSTYSHADE è un implant Rust che comunica tramite l’API REST di GitHub. Anziché collegarsi a un convenzionale server di comando e controllo, legge e aggiorna file specifici all’interno di un repository privato controllato dagli attaccanti.

Ogni file svolge un ruolo operativo preciso:

• command.txt contiene le istruzioni crittografate dell’operatore.
• results.txt riceve l’output crittografato dei comandi eseguiti.
• info.txt memorizza i dettagli di ricognizione sul sistema infetto.
• heartbeat.txt funge da segnale di keepalive.
• screenshot.png contiene una cattura crittografata del desktop.
• webcam_photo.jpg contiene un’immagine crittografata acquisita dalla webcam.
• download.bin contiene dati crittografati prelevati da file selezionati.

Questa architettura crea un canale di controllo bidirezionale all’interno di un’infrastruttura cloud legittima. I controlli di sicurezza che consentono il traffico verso GitHub potrebbero quindi rilevare richieste dirette a un servizio affidabile, anziché una connessione evidente a un server controllato dagli attaccanti.

I repository privati limitano inoltre la visibilità esterna sui file scambiati. Tuttavia, la telemetria degli endpoint e della rete può comunque evidenziare un uso insolito dell’API di GitHub, soprattutto da parte di sistemi, utenti o processi che normalmente non interagiscono con i servizi di sviluppo software.

RUSTYSHADE può eseguire comandi in background, manipolare file, acquisire schermate e scattare fotografie tramite la webcam. Dopo l’accesso iniziale, queste funzionalità forniscono agli operatori capacità sia di amministrazione remota sia di sorveglianza.

L’architettura ricorda in parte GITSHELLPAD, un implant Golang osservato nel settembre 2025 durante la campagna Gopher Strike. Entrambi utilizzano file di repository per mantenere una comunicazione bidirezionale, anche se non è stata stabilita alcuna relazione diretta tra i rispettivi codici.

Gli stealer per Windows e Linux cercano i file recenti

Operation RapidRust include componenti dedicati alla raccolta dei file per entrambe le principali famiglie di sistemi operativi desktop.

PSNATCH è uno stealer PowerShell per Windows. Esamina ricorsivamente directory predefinite e cerca diverse categorie di informazioni, tra cui:

• Documenti Microsoft Office
• Immagini e file multimediali
• Archivi compressi
• File eseguibili e script
• File di database

La ricerca dà priorità ai file modificati negli ultimi tre mesi. PSNATCH carica il materiale raccolto in un repository privato il cui nome si basa su quello del computer compromesso.

Lo stealer applica due limiti alla raccolta: nessun singolo file può superare 1 GB e una singola esecuzione può caricare un massimo di 5 GB. Queste soglie forniscono ai difensori parametri utili per le attività di threat hunting, anche se trasferimenti di volume inferiore potrebbero essere altrettanto significativi.

BASHNATCH svolge un ruolo equivalente su Linux utilizzando uno script Bash. La sua presenza indica che la campagna non è limitata agli ambienti governativi prevalentemente basati su Windows e che può raccogliere dati dagli host Linux incontrati durante un’intrusione.

Dopo la compromissione, gli operatori svolgono attività di ricognizione sul sistema, sugli utenti e sulla rete prima di introdurre ulteriori payload. Questa sequenza può aiutare a distinguere il traffico GitHub dannoso dalle attività di sviluppo legittime: i comandi di ricognizione seguiti dall’esecuzione di script, dalla comparsa di nuovi payload e dall’accesso a repository privati costituiscono un segnale più forte rispetto a ciascun evento considerato singolarmente.

RUSTYMOVE estende le infezioni tramite unità rimovibili

Il quarto strumento, RUSTYMOVE, è un’utilità Windows leggera a 64 bit scritta in Rust. È progettata per diffondere file dannosi predisposti tramite dispositivi di archiviazione rimovibili.

RUSTYMOVE verifica continuamente la presenza di unità esterne eseguendo uno script PowerShell. Quando ne rileva una, l’utilità inserisce due file nella directory principale del dispositivo:

• DriverInstaller.zip, che contiene RUSTYSHADE
• DocScanner-11-Aug-2026-5-37pm.pdf.LNK

Si ritiene che il file .LNK contenga un comando che avvia RUSTYSHADE dopo l’estrazione. Il nome del file utilizza un’estensione doppia per farlo sembrare un documento PDF, pur rimanendo un collegamento Windows.

Questo metodo di propagazione può trasferire l’implant in reti dove la distribuzione diretta via Internet è difficile o sottoposta a un monitoraggio rigoroso. Crea inoltre un rischio per i sistemi disconnessi o soggetti a restrizioni, quando il personale trasferisce supporti rimovibili da un computer all’altro.

Gli elementi disponibili non consentono di stabilire se i file copiati vengano eseguiti automaticamente. Potrebbe essere comunque necessaria l’interazione dell’utente o un altro meccanismo di esecuzione.

I domini di testate giornalistiche sottoposti a typosquatting supportano la distribuzione dei payload

Gli attaccanti hanno registrato domini simili a quelli di importanti siti web d’informazione indiani. Due esempi identificati sono:

• theprints[.]org, che imita The Print all’indirizzo theprint[.]in
• indiatodays[.]org, che imita India Today all’indirizzo indiatoday[.]in

I domini ingannevoli ospitavano script PowerShell e payload dannosi. I loro nomi potevano far apparire credibili i link agli obiettivi abituati a leggere le notizie regionali, mentre lievi variazioni ortografiche e del dominio di primo livello li distinguono dai siti legittimi.

Per distribuire un componente di furto dei file è stato utilizzato anche un gist di GitHub. Questo amplia l’abuso di GitHub da parte della campagna, che non si limita alle comunicazioni del backdoor ma include anche la distribuzione dei payload.

Una parte consistente dell’attività osservata si è svolta dal 20 agosto al 1° settembre 2026. In questo intervallo, le istruzioni di comando e controllo sono comparse esclusivamente nei giorni feriali e tra le 4:00 e le 11:00 UTC.

Questo orario può agevolare le attività d’indagine retrospettive, ma non dovrebbe diventare una regola di rilevamento rigida. Gli operatori possono modificare gli orari di lavoro, automatizzare le attività o riprendere la campagna seguendo una pianificazione diversa.

L’operazione segue un’altra campagna attribuita a Transparent Tribe dall’Acronis Threat Research Unit. Quell’attività ha preso di mira provider di telecomunicazioni afghani e organizzazioni di infrastrutture critiche in Asia meridionale, utilizzando un backdoor chiamato PATCHCORD. Operation RapidRust si inserisce quindi in un quadro più ampio di raccolta d’intelligence persistente contro obiettivi governativi, della difesa, delle telecomunicazioni e delle infrastrutture nella regione.

Cosa dovrebbero cercare i difensori

Non esistono patch del fornitore né pacchetti di remediation per Operation RapidRust, perché l’attività non è legata a una vulnerabilità software divulgata. Non sono stati segnalati identificativi CVE, versioni dei prodotti interessati, punteggi CVSS o valutazioni formali della gravità.

Il contenimento dipende invece dal monitoraggio degli endpoint, dai controlli di rete, dalla verifica delle credenziali e dalla rimozione dei componenti dannosi. I difensori dovrebbero dare priorità alle seguenti attività:

1. Limitare l’accesso non necessario a GitHub. Monitorare l’uso di repository privati, gist e dell’API REST di GitHub dagli endpoint che non hanno una documentata necessità aziendale di utilizzarli.

2. Cercare gli artefatti dei repository di RUSTYSHADE. Analizzare gli accessi che coinvolgono command.txt, results.txt, info.txt, heartbeat.txt, screenshot.png, webcam_photo.jpg o download.bin, soprattutto quando più elementi compaiono nella stessa sequenza.

3. Esaminare le attività degli script. Analizzare l’esecuzione di PowerShell e Bash associata a ricerche ricorsive dei file, filtri sui file recenti, payload scaricati o verifiche ripetute delle unità rimovibili.

4. Bloccare e analizzare i domini sottoposti a typosquatting. Qualsiasi comunicazione con theprints[.]org o indiatodays[.]org dovrebbe essere considerata sospetta e analizzata per verificare l’eventuale recupero di payload.

5. Monitorare i supporti rimovibili. Cercare la presenza di DriverInstaller.zip e DocScanner-11-Aug-2026-5-37pm.pdf.LNK nelle directory principali delle unità esterne.

6. Esaminare i volumi di caricamento insoliti. I trasferimenti prossimi a 1 GB per file o 5 GB per esecuzione meritano attenzione, soprattutto quando passano attraverso servizi correlati a GitHub.

7. Correlare la ricognizione con la distribuzione successiva. L’enumerazione del sistema, la scoperta degli utenti e l’ispezione della rete seguite da nuovi script o da connessioni all’API di GitHub possono indicare una compromissione in corso.

Le organizzazioni interessate dovrebbero inoltre esaminare l’accesso alla webcam, la creazione di screenshot, l’esposizione delle credenziali e la preparazione dei dati per l’esfiltrazione. La rimozione di un singolo payload potrebbe non essere sufficiente se gli attaccanti hanno già stabilito un altro meccanismo di persistenza o ottenuto credenziali riutilizzabili.

Operation RapidRust dimostra l’impiego di una toolchain costruita attorno a normali servizi cloud, anziché a un’infrastruttura personalizzata facilmente riconoscibile. Per rilevarla è necessario prestare attenzione al modo in cui vengono utilizzati i servizi affidabili, non soltanto al fatto che siano consentiti.