文章总结： 透明部落APT36发动RapidRust行动，使用四款Rust恶意工具，利用GitHub私有仓库作为C2通道，并通过USB摆渡突破物理隔离内网，攻击印度、阿富汗政府及国防军工机构。防御需加强USB管控、监控GitHubAPI异常行为及终端告警，并建议员工警惕伪装PDF的LNK文件。
综合评分： 88
文章分类： 威胁情报,恶意软件,红队,漏洞分析,安全运营
透明部落APT36 RapidRust行动曝光！GitHub充当C2、USB摆渡突破物理隔离内网，政企国防单位高危
原创
AI紫队安全研究
AI紫队安全研究
AI紫队安全研究
2026年9月24日 11:59
广东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
Zscaler ThreatLabz披露APT36（透明部落Transparent Tribe）全新RapidRust（极速锈铁）间谍作战行动。团伙一次性放出4款全新定制恶意工具：RUSTYSHADE远控后门、RUSTYMOVE USB摆渡传播器、Windows窃密工具PSNATCH、Linux版本BASHNATCH。
最大两大颠覆性战术：拿私有GitHub仓库当作指挥C2通道，合法云平台流量很难拦截；依靠RUSTYMOVE实现USB介质自动投毒，能够突破物理隔离空气隔离内网。印度、阿富汗政府、国防军工机构已经出现多起真实受害案例，南亚相关涉外、科研、国防配套企业务必提高警惕。
情报来源：Zscaler ThreatLabz威胁研究报告
一、威胁团伙APT36背景
APT36（又称透明部落Transparent Tribe）是长期活跃于南亚的国家级间谍APT，十余年持续针对政府机关、国防军工、科研机构开展定向情报窃取。
本次RapidRust行动工具链全面转向Rust语言开发，兼顾Windows与Linux双平台，同时创新两大攻击手段：
-
利用仿冒新闻媒体的域名投递钓鱼载荷；
-
突破传统网络边界，借助U盘摆渡进攻物理隔离内网。
攻击者作息特征非常有特点：仅在UTC凌晨4点‑11点工作日下发指令，周末完全停止操作，给安全研判提供可参考行为特征。
二、全套四件套恶意工具深度拆解
🦾RUSTYSHADE｜Rust编写主远控后门（核心C2工具）
64位Windows Rust后门，不搭建传统黑客C2服务器，直接滥用GitHub私有仓库作为指挥站。
认证：硬编码GitHub个人访问令牌PAT，调用GitHub REST API读写私有仓库；
加密：全部通信使用AES‑256‑GCM加密，报文固定前缀HCENC1:；
交互机制：读写仓库内固定文件完成指令交互
command.txt：存放下发的加密指令
results.txt：回传执行结果
screenshot.png、webcam\_photo.jpg：回传截屏、摄像头抓拍画面
能力集：目录遍历、磁盘枚举、执行系统命令、截屏、调用摄像头、批量下载窃取本地文件。
防御难点：很多研发企业完全放行GitHub流量，单纯黑名单域名完全无效，必须监控非开发进程调用GitHub API的异常行为。
📂PSNATCH（Windows）& BASHNATCH（Linux）｜跨平台文件窃取器
两套工具逻辑一致，分别针对Windows、Linux系统，实现增量式文件偷窃：
-
自动遍历桌面、文档、下载、OneDrive、D‑H盘；
-
筛选近120天修改过的Office文档、图纸、数据库、压缩包；设置单文件1GB，单次执行上限5GB；
-
为每一台中毒主机单独创建GitHub私有仓库；
-
本地生成记录文件，只上传新增、修改过的文件，实现增量外泄，减少网络异常告警；
Windows记录路径：%APPDATA%\SmartUploader\uploaded\_files.json
Linux记录路径：~/.local/share/SmartUploader/uploaded\_files.json
📀RUSTYMOVE｜USB摆渡投毒器（最危险，可攻破物理隔离内网）
这是本次行动最值得警惕的工具，专门用来进攻断网物理隔离内网。
-
持续循环检测USB、SD、MMC、1394外接移动介质，间隔2秒扫描一次；
-
一旦识别新U盘，自动复制两份文件到U盘根目录：
DriverInstaller.zip：内含RUSTYSHADE后门程序
伪装PDF恶意LNK快捷方式DocScanner‑xxx.pdf.LNK；
-
用户在隔离内网电脑插上被感染U盘，双击伪装PDF快捷方式，即可在内网主机触发后门；
-
通过开机启动计划任务持久化，任务名伪装为
StandAloneOneDriveUpdater‑2626，冒充OneDrive更新程序，极具迷惑性。
重点警示：物理断网不等于绝对安全，只要有USB介质交换，外部网络沦陷机器就可以把威胁带入隔离内网。
三、完整攻击全链路
-
钓鱼投递入口：使用仿冒新闻媒体的域名（仿冒印度主流新闻网站，typosquat域名如
indiatodays[.]org、theprints[.]org），投放PowerShell脚本与载荷； -
受害者执行载荷，从Backblaze云存储下载恶意压缩包；
-
部署RUSTYSHADE主后门，通过GitHub私有仓库建立加密C2通道；
-
内网侦察：扫描子网存活主机、SMB共享、尝试IPC$横向移动；
-
按需下发工具：部署PSNATCH/BASHNATCH批量窃取文档；部署RUSTYMOVE开启USB摆渡传播；
-
情报回传：窃取资料加密上传攻击者GitHub私有仓库；
-
利用U盘介质，将威胁摆渡到物理隔离的内网环境。
攻击者入侵后典型侦察动作：
执行ipconfig、whoami、tasklist收集本机信息；
全网ping扫描探测内网存活主机，扫描135、445端口；
调用公开IP地理接口获取受害主机公网IP位置；
创建伪装成微软更新的开机计划任务维持持久化；
完成操作后删除攻击中间文件，做简单反取证清理。
四、高风险单位自查清单
重点受害对象
政府外事机构、国防军工配套单位、科研院所、涉外机构，存在物理隔离涉密内网的企业风险极高。
高危企业现状
-
无管控，员工U盘可以自由在互联网办公电脑与隔离内网之间交叉使用；
-
企业全盘放行GitHub访问，没有监控非业务进程调用GitHub API行为；
-
终端缺少EDR行为检测，只依靠传统杀毒软件；
-
不审计计划任务，对伪装OneDrive更新的恶意启动项缺少告警；
-
允许LNK快捷方式附件直接进入邮件网关。
五、分层落地防御方案（运维+员工）
🛡运维安全加固
- USB移动介质严格管控
涉密/物理隔离内网，实施U盘白名单，禁止外来未经查杀的U盘接入；
禁止互联网终端U盘直接插隔离内网，介质必须经过专用查杀工作站。
- 针对GitHub C2特殊检测
不要直接封禁GitHub，会影响研发业务；重点监控：非开发类进程（powershell、cmd、普通exe）调用GitHub REST API，User‑Agent出现SmartUploader立即告警。
- 终端行为告警规则
检索可疑计划任务名称：StandAloneOneDriveUpdater‑2626；
查找可疑路径：%APPDATA%\SmartUploader；
监控大量AES加密HTTPS向外POST，报文存在HCENC1:特征前缀；
告警伪装PDF后缀的.LNK快捷文件。
- 邮件、网页安全
拦截仿冒新闻类钓鱼域名，过滤LNK恶意快捷附件；
监控从Backblaze等公有云存储下载未知可执行载荷行为。
- 内网审计：定期审计子网扫描行为、IPC$空会话连接、445端口批量探测。
👨💻员工安全规范
-
U盘不要交叉混用外网办公电脑与涉密内网机器；
-
警惕后缀
.pdf.lnk这类双重后缀伪装文档，系统务必开启显示完整文件扩展名； -
收到来自陌生新闻媒体的邮件附件，不直接打开，提交安全部门沙箱检测。
🚨疑似中毒应急处置
-
受害主机立刻断开网络，保留内存与磁盘取证，不要直接全盘格式化；
-
查找并删除：SmartUploader目录、可疑OneDrive伪装计划任务；
-
全盘检索U盘根目录是否存在
DriverInstaller.zip、.pdf.LNK摆渡文件； -
全部域账号、业务系统、服务器密码重置，开启MFA二次验证；
-
重点排查所有交叉使用过的USB设备，同时排查物理隔离内网终端，防止摆渡已经成功渗透。
六、安全总结思考
RapidRust行动带来两个非常现实的安全警示：
-
合法云服务正在大量被APT当作C2指挥基础设施，GitHub、各类对象存储，流量混在正常业务里面，传统域名黑名单防御思路已经捉襟见肘，必须做进程‑行为‑UA上下文的检测；
-
不要迷信物理隔离安全。只要存在USB介质交换通道，外网沦陷主机就可以通过摆渡木马把威胁带入断网内网，很多国防、科研单位容易忽视这条攻击路径。
防御不能只依靠杀毒软件，USB介质管控、云API异常行为监控、钓鱼源头拦截三者需要同时落地。
互动话题
你们单位涉密内网如何管控U盘移动介质？遇到过伪装PDF的LNK恶意快捷方式吗？评论区交流运维经验！
加入知识星球，可获取权益
一、”全球高级持续威胁：网络世界的隐形战争”，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：AI紫队安全研究 AI紫队安全研究
AI紫队安全研究《透明部落APT36 RapidRust行动曝光！GitHub充当C2、USB摆渡突破物理隔离内网，政企国防单位高危》