パキスタンと関連のある脅威アクターAPT36が、インドとアフガニスタンの政府・国防機関を標的とする新たなサイバー攻撃キャンペーンを開始しました。
「Operation RapidRust」と名付けられたこのキャンペーンは、Zscaler ThreatLabzによって2026年8月に確認されたもので、同グループがマルウェアや侵害後の手法を継続的に更新していることを示しています。
この作戦では、バックドア「RUSTYSHADE」、USB経由で拡散するマルウェア「RUSTYMOVE」、ファイル窃取ツール「PSNATCH」および「BASHNATCH」など、複数の新たに確認されたツールが使用されています。
このキャンペーンでは、クラウドサービス、偽ニュースドメイン、PowerShellスクリプト、リムーバブルメディア、スケジュールタスクを組み合わせることで、アクセスを維持しながら機密ファイルを窃取しています。
APT36は、過去のキャンペーンでもインド政府機関を標的にしてきたことで知られており、2026年1月以降も高い活動レベルを維持しています。
同グループは、情報収集や内部ネットワーク内での横展開、さらにインターネットに直接接続されていない可能性のあるシステムへの到達に注力しているとみられます。
RUSTYSHADEは、Rustで書かれた64ビットWindows向けのバックドアです。攻撃者が管理する非公開のGitHubリポジトリをコマンド&コントロール(C2)チャネルとして利用し、GitHub REST API経由で攻撃者がコマンドを送信したり、窃取したデータを受け取ったりできるようになっています。
このマルウェアには、非公開リポジトリへのアクセスに使うGitHubパーソナルアクセストークンがハードコードされています。
通信はAES-256-GCM暗号化で保護されており、防御側がやり取りされるデータを検査しにくくなっています。暗号化されたメッセージにはBase64エンコードされる前にHCENC1:というプレフィックスが付与されます。
APT36の攻撃者は、RUSTYSHADEを使ってシステム情報の収集、ファイルおよびドライブの一覧取得、コマンドの実行、スクリーンショットの撮影、Webカメラでの写真撮影、選択したファイルのダウンロードなどを行うことができます。
このバックドアは、コマンドの実行結果、スクリーンショット、偵察データ、窃取したファイルをそれぞれ別のリポジトリファイルに保存します。ThreatLabzは、PowerShellベースのファイル窃取ツール「PSNATCH」も確認しています。
PSNATCHは、デスクトップ、ダウンロード、ドキュメント、OneDrive、ローカルドライブなどのフォルダを探索し、最近更新されたファイルを検索します。このマルウェアは、文書ファイル、アーカイブ、画像、メディアファイル、スクリプト、データベース、実行可能ファイルを標的としています。
PSNATCHは収集したファイルを非公開のGitHubリポジトリにアップロードしますが、感染したシステムごとに個別のリポジトリを作成することが多いようです。
Linux向けの亜種「BASHNATCH」も同様の収集活動を行い、既にアップロード済みのファイルをローカルに記録することで、段階的なデータ窃取を可能にしています。
APT36は、インドの人気メディアサイトを模倣したタイポスクワッティングドメインも使用しており、theprints[.]orgやindiatodays[.]orgなどが確認されています。
これらのドメインはPowerShellスクリプトや追加のペイロードをホストしており、マルウェアのアーカイブファイルの保管にはBackblazeのクラウドストレージが使用されていました。
RUSTYMOVEは、リムーバブルメディアを介してマルウェアを拡散させるために設計された、RustベースのWindows向けツールです。侵害されたシステムに接続されたUSBドライブ、SDカード、MMCデバイス、その他の外部ストレージを継続的に探索します。
外部ドライブを検知すると、RUSTYMOVEはあらかじめ用意された2つのファイル──RUSTYSHADEを含むZIPアーカイブと、PDF文書に偽装した悪意のあるショートカットファイル──をそのデバイスのルートディレクトリにコピーします。Zscalerによると、このショートカットはアーカイブが展開された後にバックドアを起動させるものとみられています(Zscalerの発表)。
注: IPアドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無効化表記([.]など)にしています。再有効化は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。貴チームでも導入を検討する
翻訳元: https://cyberpress.org/apt36s-rustyshade-usb-campaign/
