Wprowadzenie do problemu / definicja
Grupa Transparent Tribe, znana również jako APT36, została powiązana z nową kampanią cyberwywiadowczą wymierzoną w podmioty rządowe i obronne w Indiach oraz Afganistanie. Operacja zwraca uwagę nie tylko ze względu na nowe narzędzia malware, ale również przez zastosowanie nietypowego kanału komunikacji command-and-control opartego na prywatnych repozytoriach GitHub.
Takie podejście utrudnia wykrywanie aktywności napastników, ponieważ ruch do legalnych usług chmurowych i platform deweloperskich bywa traktowany jako mniej podejrzany niż klasyczna komunikacja z infrastrukturą kontrolowaną bezpośrednio przez operatorów ataku.
W skrócie
- Transparent Tribe wykorzystuje nowy backdoor RUSTYSHADE napisany w języku Rust.
- Komunikacja C2 odbywa się za pośrednictwem prywatnych repozytoriów GitHub i interfejsu GitHub REST API.
- W kampanii zidentyfikowano także komponenty RUSTYMOVE, PSNATCH i BASHNATCH.
- Ataki były wymierzone głównie w organizacje rządowe i obronne w Indiach oraz Afganistanie.
- Operatorzy wykorzystywali domeny podszywające się pod znane indyjskie media do hostowania złośliwych plików.
Kontekst / historia
Transparent Tribe od lat pozostaje jedną z najaktywniejszych grup APT kojarzonych z działalnością szpiegowską w Azji Południowej. Jej wcześniejsze kampanie regularnie koncentrowały się na instytucjach państwowych, sektorze obronnym, wykonawcach wojskowych oraz organizacjach przetwarzających informacje o znaczeniu strategicznym.
Najnowsza operacja pokazuje kontynuację tej strategii, ale jednocześnie wskazuje na rozwój technik operacyjnych i większą dojrzałość w ukrywaniu komunikacji. Szczególne znaczenie ma tu wykorzystanie legalnej platformy deweloperskiej jako pośrednika w wymianie poleceń i danych, co ogranicza skuteczność prostych mechanizmów detekcji opartych na reputacji domen.
W kampanii obserwowano również wykorzystanie domen typu typosquatting, imitujących rozpoznawalne marki medialne. Taki zabieg zwiększa wiarygodność infrastruktury wykorzystywanej do dostarczania złośliwych skryptów i kolejnych ładunków malware.
Analiza techniczna
Najważniejszym elementem zestawu narzędzi jest RUSTYSHADE, czyli backdoor napisany w Rust. Malware korzysta z prywatnych repozytoriów GitHub jako kanału command-and-control, wykorzystując do tego GitHub REST API. Oznacza to, że polecenia i odpowiedzi nie muszą być przesyłane do klasycznego serwera C2, lecz mogą być odczytywane i zapisywane w zasobach kontrolowanych przez napastników na zaufanej platformie.
Mechanizm działania opiera się na zestawie plików pełniących konkretne funkcje operacyjne. command.txt przechowuje zaszyfrowane polecenia, results.txt zawiera zaszyfrowane wyniki wykonania komend, a info.txt służy do gromadzenia danych rekonesansowych o systemie. Dodatkowo heartbeat.txt odpowiada za sygnalizowanie aktywności infekcji, natomiast screenshot.png i webcam_photo.jpg służą do przekazywania zaszyfrowanych materiałów pozyskanych z pulpitu i kamery. Plik download.bin może być wykorzystywany do przenoszenia wykradzionych danych.
Możliwości RUSTYSHADE obejmują zdalne wykonywanie poleceń, operacje na plikach, zbieranie informacji o systemie, wykonywanie zrzutów ekranu oraz pozyskiwanie obrazu z kamery. Jest to więc klasyczny implant post-exploitation zaprojektowany do utrzymania dostępu, prowadzenia obserwacji oraz realizacji zadań wywiadowczych po uzyskaniu przyczółka w środowisku ofiary.
Drugim istotnym komponentem jest RUSTYMOVE, lekkie 64-bitowe narzędzie dla Windows stworzone w Rust, którego zadaniem jest propagacja przez nośniki USB. Narzędzie monitoruje obecność nośników wymiennych i kopiuje na nie dwa przygotowane wcześniej pliki: archiwum zawierające backdoor oraz skrót LNK podszywający się pod dokument PDF. Ten model działania sugeruje próbę rozprzestrzeniania infekcji w środowiskach o ograniczonej łączności lub tam, gdzie transfer danych między segmentami odbywa się fizycznie.
W dalszej fazie ataku wykorzystywano także narzędzia do kradzieży plików. PSNATCH to stealer oparty na PowerShell, który rekurencyjnie przeszukuje wskazane katalogi pod kątem dokumentów biurowych, obrazów, archiwów, multimediów, plików wykonywalnych, skryptów oraz baz danych zmodyfikowanych w ciągu ostatnich trzech miesięcy. Zebrane dane są następnie eksfiltrowane do prywatnego repozytorium przypisanego do zainfekowanej maszyny. Wariant BASHNATCH realizuje podobne zadania w systemach Linux.
Badacze odnotowali również charakterystyczne wzorce aktywności po kompromitacji. Obejmowały one rekonesans systemowy, użytkownika i sieci, a następnie dostarczanie kolejnych ładunków. Zwracają uwagę godziny wydawania poleceń C2, ograniczone do dni roboczych i określonego przedziału czasowego UTC, co może wskazywać na uporządkowany tryb działania operatorów.
Konsekwencje / ryzyko
Wykorzystanie prywatnych repozytoriów GitHub jako kanału C2 zwiększa odporność kampanii na tradycyjne mechanizmy wykrywania. W wielu organizacjach ruch do popularnych platform deweloperskich jest dozwolony i uznawany za biznesowo uzasadniony, co daje atakującym możliwość maskowania działań w legalnym ruchu sieciowym.
Ryzyko jest szczególnie wysokie dla instytucji rządowych, sektora obronnego, wykonawców wojskowych oraz organizacji przetwarzających informacje strategiczne. Backdoor umożliwiający zdalne wykonywanie poleceń, połączony z modułami kradzieży plików i propagacją przez USB, tworzy elastyczny zestaw do długotrwałej infiltracji i eksfiltracji danych.
Istotnym aspektem jest również użycie języka Rust. Sam język nie stanowi zagrożenia, jednak coraz częściej jest wybierany do tworzenia malware ze względu na wydajność, przenośność i większą złożoność analizy. W praktyce może to wydłużać czas reverse engineeringu i utrudniać szybkie opracowanie skutecznych reguł detekcyjnych.
Rekomendacje
Organizacje powinny rozszerzyć monitoring o dostęp do platform kodowych i usług deweloperskich, zwłaszcza pod kątem nietypowego użycia API, operacji na prywatnych repozytoriach oraz ruchu generowanego przez stacje robocze, które normalnie nie korzystają z takich usług. W środowiskach wysokiego ryzyka warto wdrożyć segmentację i ograniczyć bezpośredni dostęp hostów użytkowników do zewnętrznych platform współpracy.
- Monitorować użycie GitHub API i anomalii w komunikacji do prywatnych repozytoriów.
- Wykrywać nietypowe użycie PowerShell, bash oraz procesów pakujących i przesyłających pliki.
- Kontrolować użycie nośników USB oraz tworzenie skrótów LNK podszywających się pod dokumenty.
- Ograniczać uruchamianie niepodpisanych binariów i egzekwować zasadę najmniejszych uprawnień.
- Zapewnić porównywalny poziom monitoringu dla systemów Windows i Linux.
Z perspektywy reagowania na incydenty warto przygotować procedury threat huntingu obejmujące wyszukiwanie artefaktów związanych z komunikacją przez GitHub API, analizę dostępu do prywatnych repozytoriów, inspekcję plików o nazwach sugerujących funkcje C2 oraz ślady eksfiltracji danych do usług chmurowych. Należy również regularnie przeglądać historię podłączania nośników USB i identyfikować nietypowe archiwa lub pliki LNK umieszczane w katalogach głównych urządzeń.
Podsumowanie
Najnowsza kampania Transparent Tribe pokazuje, że grupy APT stale rozwijają zarówno arsenał techniczny, jak i metody ukrywania komunikacji. Połączenie backdoora w Rust, eksfiltracji danych przez prywatne repozytoria GitHub, narzędzi dla Windows i Linux oraz propagacji przez USB wskazuje na dojrzałą operację cyberwywiadowczą zaprojektowaną z myślą o trwałej obecności w środowisku ofiary.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest jasny: analiza ruchu do zaufanych usług internetowych musi uwzględniać anomalie behawioralne, a nie tylko reputację dostawcy. Legalna platforma może bowiem stać się skuteczną osłoną dla zaawansowanej infrastruktury C2.