Transparent Tribe implementa una nueva puerta trasera en Rust utilizando repositorios privados de GitHub como C2

Un grupo de ata­can­tes vin­cu­la­do a Pa­kis­tán, co­no­ci­do como Trans­pa­rent Tribe, APT36 o Earth Kar­kad­dan, ha sido re­la­cio­na­do con una re­cien­te cam­pa­ña de ci­ber­ata­ques con­tra or­ga­ni­za­cio­nes gu­ber­na­men­ta­les y de de­fen­sa en la India y Af­ga­nis­tán. Esta ac­ti­vi­dad, de­no­mi­na­da Ope­ra­ción Ra­pi­dRust, des­ta­ca por la ac­tua­li­za­ción cons­tan­te de las tác­ti­cas, téc­ni­cas y pro­ce­di­mien­tos de los agre­so­res, quie­nes man­tie­nen un ritmo ope­ra­ti­vo ele­va­do.

Para lle­var a cabo estos ata­ques, los ope­ra­do­res em­plean un con­jun­to de he­rra­mien­tas re­cien­te­men­te des­cu­bier­tas que in­clu­yen un pro­gra­ma ma­li­cio­so de tipo puer­ta tra­se­ra, una uti­li­dad orien­ta­da al mo­vi­mien­to la­te­ral y he­rra­mien­tas para la ex­trac­ción de ar­chi­vos tanto en en­tor­nos Win­dows como Linux. Entre las ca­rac­te­rís­ti­cas más des­ta­ca­das de la cam­pa­ña se en­cuen­tra el uso de re­po­si­to­rios pri­va­dos en GitHub para el con­trol y co­man­do, ade­más de la crea­ción de do­mi­nios con erro­res ti­po­grá­fi­cos de­li­be­ra­dos que imi­tan a me­dios de no­ti­cias po­pu­la­res de la India para alo­jar scripts ma­li­cio­sos de Po­werShell y car­gas úti­les.

La puer­ta tra­se­ra ba­sa­da en len­gua­je Rust, iden­ti­fi­ca­da como RUSTYSHADE, uti­li­za los re­po­si­to­rios pri­va­dos y la API de GitHub para man­te­ner una co­mu­ni­ca­ción bi­di­rec­cio­nal ci­fra­da me­dian­te el uso de ar­chi­vos es­pe­cí­fi­cos des­ti­na­dos al al­ma­ce­na­mien­to de ór­de­nes, re­sul­ta­dos, in­for­ma­ción del sis­te­ma y cap­tu­ras. Asi­mis­mo, la ope­ra­ción in­clu­ye la uti­li­za­ción de he­rra­mien­tas para la re­co­pi­la­ción de do­cu­men­tos, scripts de pro­pa­ga­ción a tra­vés de uni­da­des USB ex­traí­bles y ac­ti­vi­da­des pos­te­rio­res al com­pro­mi­so que abar­can el re­co­no­ci­mien­to del sis­te­ma y de la red.