Contexte de la campagne

Le groupe d'espionnage pakistanais Transparent Tribe, identifié comme APT36, a mené une série d'attaques contre des entités gouvernementales et de défense en Inde et en Afghanistan entre le 20 août et le 1 septembre 2026. L’opération, nommée Operation RapidRust, repose sur quatre familles de logiciels malveillants récemment découverts : RUSTYSHADE (backdoor), RUSTYMOVE (outil de propagation USB), PSNATCH (stealer PowerShell) et BASHNATCH (stealer Bash). Les commandes C2 ont été émises uniquement entre 4 h et 11 h UTC, du lundi au vendredi.

Mécanismes du backdoor Rust

RUSTYSHADE est écrit en Rust et exploite des dépôts GitHub privés contrôlés par les attaquants. La communication s’effectue via l’API REST de GitHub, où le malware lit et écrit des fichiers spécifiques pour échanger des données chiffrées. Les fichiers utilisés sont :

command.txt   // commandes chiffrées
results.txt   // sortie chiffrée des commandes
info.txt      // données de reconnaissance
heartbeat.txt // signal de présence
screenshot.png // capture d’écran chiffrée
webcam_photo.jpg // image webcam chiffrée
download.bin   // contenu de fichiers exfiltrés

Cette méthode contourne les filtres réseau classiques, car le trafic HTTP(S) vers GitHub est généralement autorisé. Le backdoor partage des fonctions avec le précédent implant Golang GITSHELLPAD, mais la mise en œuvre en Rust offre une empreinte binaire différente, compliquant la détection basée sur les signatures.

Propagation et vol de données

RUSTYMOVE surveille en permanence les médias amovibles via un script PowerShell. Dès qu’un périphérique USB est détecté, il copie deux fichiers pré‑chargés : DriverInstaller.zip, contenant le backdoor RUSTYSHADE, et un raccourci DocScanner-11-Aug-2026-5-37pm.pdf.LNK qui déclenche l’exécution du backdoor après extraction. PSNATCH et BASHNATCH sont respectivement des stealers PowerShell et Bash. PSNATCH parcourt des répertoires configurés, cible les documents Office, images, archives, exécutables et bases de données modifiés au cours des trois derniers mois, puis les exfiltre vers un dépôt GitHub privé nommé d’après la machine infectée. La taille maximale autorisée est de 1 Go par fichier et 5 Go par exécution. BASHNATCH applique la même logique sur les systèmes Linux.

Analyse des risques et détection

L’utilisation de dépôts GitHub privés pour le C2 introduit plusieurs défis. Premièrement, le trafic légitime vers GitHub masque les échanges malveillants, rendant inefficaces les solutions de prévention basées sur le filtrage d’URL. Deuxièmement, le chiffrement des fichiers empêche l’inspection en profondeur (DPI) sans la clé de déchiffrement. Enfin, la synchronisation horaire restreinte (4 h–11 h UTC) suggère une tentative de réduire la visibilité dans les logs d’activité. La présence de domaines typosquattés (theprints[.]org, indiatodays[.]org) hébergeant des scripts PowerShell indique une chaîne d’infection supplémentaire, où les victimes téléchargent des chargeurs avant d’établir le canal GitHub. Pour contrer cette technique, les équipes de défense doivent surveiller les appels API GitHub inhabituels (création ou modification de fichiers dans des dépôts privés), détecter les scripts PowerShell qui interrogent l’API, et appliquer des contrôles d’intégrité sur les médias amovibles afin d’empêcher l’écriture de fichiers LNK ou ZIP non autorisés.