สรุปสั้น
กลุ่มภัยคุกคามฝั่งปากีสถานที่ถูกติดตามในชื่อ Transparent Tribe (หรือ APT36 และ Earth Karkaddan) ถูกเชื่อมโยงกับชุดการโจมตีครั้งใหม่ที่พุ่งเป้าหน่วยงานรัฐและกลาโหมในอินเดียและอัฟกานิสถาน โดยบริษัท Zscaler ThreatLabz ตั้งชื่อปฏิบัติการนี้ว่า Operation RapidRust และพบว่ากลุ่มนำเครื่องมือที่ไม่เคยมีการบันทึกมาก่อนถึงสี่ตระกูลเข้ามาใช้ ได้แก่ RUSTYSHADE, RUSTYMOVE, PSNATCH และ BASHNATCH สะท้อนว่ากลุ่มยังคงจังหวะปฏิบัติการที่เข้มข้นและพัฒนากลยุทธ์ เทคนิค และขั้นตอน (TTPs) อย่างต่อเนื่อง
จุดที่น่าสนใจที่สุดของแคมเปญนี้คือการที่ผู้โจมตีหันมาใช้ private GitHub repository เป็นช่องทางสั่งการและควบคุม (C2) แทนโครงสร้างพื้นฐานแบบเดิม รวมถึงจดโดเมนแบบพิมพ์ผิด (typosquatting) เลียนแบบสำนักข่าวชื่อดังของอินเดียอย่าง The Print และ India Today เพื่อใช้โฮสต์สคริปต์ PowerShell และเพย์โหลดอันตราย ในบรรดามัลแวร์ทั้งสี่ตระกูล ตัวหนึ่งเป็นแบ็กดอร์ อีกตัวเป็นเครื่องมือเคลื่อนย้ายตัวในแนวราบ ส่วนอีกสองตัวเป็นโปรแกรมขโมยไฟล์ที่ออกแบบมาสำหรับทั้ง Windows และ Linux
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 18 กันยายน 2569 ว่า กลุ่ม Transparent Tribe หรือ APT36 ถูกระบุว่าอยู่เบื้องหลังการโจมตีรอบใหม่ที่เล็งหน่วยงานรัฐและกลาโหมในอินเดียและอัฟกานิสถาน อ้างอิงจากรายงานทางเทคนิคของบริษัท Zscaler ThreatLabz ที่เผยแพร่ในสัปดาห์นี้
นาย Sudeep Singh ผู้จัดการอาวุโสฝ่ายวิจัย APT ของ Zscaler ThreatLabz ระบุว่า “APT36 ยังคงรักษาจังหวะปฏิบัติการที่เข้มข้นและอัปเดตกลยุทธ์ เทคนิค และขั้นตอนของตน ในการโจมตีหน่วยงานรัฐและองค์กรด้านกลาโหมในอินเดียและอัฟกานิสถานอย่างต่อเนื่อง”
การค้นพบครั้งนี้เกิดขึ้นหลังจากที่บริษัท Acronis Threat Research Unit (TRU) เพิ่งเชื่อมโยงกลุ่มนี้เข้ากับอีกแคมเปญที่เล็งผู้ให้บริการโทรคมนาคมในอัฟกานิสถานและองค์กรโครงสร้างพื้นฐานสำคัญในเอเชียใต้ ด้วยแบ็กดอร์ชื่อ PATCHCORD เมื่อราวหนึ่งเดือนก่อน โดยการเคลื่อนไหวส่วนใหญ่ของ Operation RapidRust เกิดขึ้นระหว่างวันที่ 20 สิงหาคม ถึง 1 กันยายน 2569 และคำสั่ง C2 ถูกส่งเฉพาะช่วงเวลา 4.00–11.00 น. UTC ในวันทำการเท่านั้น ซึ่งบ่งชี้ถึงเขตเวลาและรูปแบบการทำงานของผู้โจมตี
วิธีการโจมตี
หัวใจของแคมเปญคือ RUSTYSHADE แบ็กดอร์ที่เขียนด้วยภาษา Rust ซึ่งใช้ private GitHub repository ที่ผู้โจมตีควบคุมเป็นช่องทางสื่อสาร C2 แบบเข้ารหัส โดยมีฟังก์ชันบางส่วนทับซ้อนกับ GITSHELLPAD อิมแพลนต์ภาษา Golang ที่เคยพบเมื่อเดือนกันยายน 2568 ในแคมเปญ Gopher Strike เทคนิคของ RUSTYSHADE คือการอ่านและเขียนไฟล์ในรีโพ GitHub ส่วนตัวเพื่อสื่อสารสองทางผ่าน GitHub REST API โดยใช้ไฟล์ command.txt เก็บคำสั่ง C2 ที่เข้ารหัส, results.txt เก็บผลลัพธ์คำสั่ง, info.txt เก็บข้อมูลลาดตระเวนระบบ, heartbeat.txt สำหรับ beacon ยืนยันการติดเชื้อ, screenshot.png เก็บภาพหน้าจอเข้ารหัส, webcam_photo.jpg เก็บภาพจากเว็บแคม และ download.bin สำหรับเนื้อหาไฟล์ที่ขโมยออกมา ความสามารถของมันครอบคลุมการถ่ายภาพหน้าจอ จับภาพเว็บแคม จัดการไฟล์ และรันคำสั่งเบื้องหลัง
ในขั้นตอนหลังเจาะระบบ ผู้โจมตีจะดึงโปรแกรมขโมยไฟล์จาก GitHub gist ที่ตนควบคุม ซึ่งมีสองรูปแบบสำหรับ Windows และ Linux ได้แก่ PSNATCH โปรแกรมขโมยไฟล์ที่เขียนด้วย PowerShell คอยสแกนไดเรกทอรีที่กำหนดไว้ล่วงหน้าแบบเรียกซ้ำ เพื่อหาเอกสาร Microsoft Office รูปภาพ ไฟล์บีบอัด สื่อ ไฟล์รันได้ สคริปต์ และฐานข้อมูลที่ถูกแก้ไขภายในสามเดือนล่าสุด แล้วส่งออกไปยังรีโพส่วนตัวที่ตั้งชื่อตามเครื่องที่ติดเชื้อ (จำกัดไม่เกิน 1 GB ต่อไฟล์ และ 5 GB ต่อการรันหนึ่งครั้ง) ส่วน BASHNATCH เป็นสคริปต์ bash ที่ทำหน้าที่คล้ายกันบนระบบ Linux
องค์ประกอบที่น่าจับตาที่สุดคือ RUSTYMOVE เครื่องมือแพร่กระจายผ่าน USB ขนาด 64 บิตบน Windows ที่เขียนด้วย Rust หน้าที่หลักคือคอยเฝ้าดูสื่อบันทึกแบบถอดได้ผ่านสคริปต์ PowerShell อย่างต่อเนื่อง แล้วคัดลอกไฟล์อันตรายที่เตรียมไว้ล่วงหน้าสองไฟล์ไปยังไดรฟ์ภายนอกที่ตรวจพบ ได้แก่ DriverInstaller.zip ที่บรรจุ RUSTYSHADE และไฟล์ล่อชื่อ DocScanner-11-Aug-2026-5-37pm.pdf.LNK ที่คาดว่าบรรจุคำสั่งเรียกใช้ RUSTYSHADE หลังการแตกไฟล์ นอกจากนี้ผู้โจมตียังจดโดเมนเลียนแบบสำนักข่าวอินเดียเพื่อโฮสต์สคริปต์และเพย์โหลด เช่น theprints[.]org เลียนแบบ The Print และ indiatodays[.]org เลียนแบบ India Today
ผลกระทบ
การที่ APT36 หันมาใช้ private GitHub repository เป็นช่องทาง C2 ถือเป็นความท้าทายสำคัญต่อทีมป้องกัน เพราะทราฟฟิกที่วิ่งไปยัง GitHub ซึ่งเป็นบริการที่องค์กรทั่วไปใช้งานอย่างถูกต้องอยู่แล้ว มักไม่ถูกตั้งข้อสงสัยและกลมกลืนไปกับทราฟฟิกปกติ ทำให้การตรวจจับด้วยการดูปลายทางเครือข่ายเพียงอย่างเดียวได้ผลน้อยลง ประกอบกับการเลือกใช้ภาษา Rust ที่วิเคราะห์ย้อนกลับได้ยากกว่า ยิ่งเพิ่มต้นทุนให้ฝ่ายวิเคราะห์มัลแวร์
ขณะเดียวกัน RUSTYMOVE ที่แพร่ผ่าน USB สะท้อนว่ากลุ่มยังเตรียมเส้นทางเข้าถึงเครือข่ายที่แยกออกจากอินเทอร์เน็ต (air-gapped) หรือเครือข่ายที่มีการควบคุมเข้มงวด ซึ่งเป็นลักษณะทั่วไปของระบบในหน่วยงานรัฐและกลาโหม แม้เป้าหมายหลักครั้งนี้จะเป็นอินเดียและอัฟกานิสถาน แต่เทคนิคการใช้บริการคลาวด์ที่ถูกต้องเป็น C2 การเลียนแบบเว็บข่าว และการแพร่ผ่าน USB เป็นรูปแบบที่ทีม SOC ทุกภูมิภาคควรนำไปปรับใช้เป็นสมมติฐานในการล่าภัยคุกคาม (threat hunting)
คำแนะนำ
องค์กรควรเฝ้าระวังทราฟฟิกที่วิ่งไปยัง GitHub API และ GitHub gist ในบริบทที่ผิดปกติ โดยเฉพาะจากเครื่องหรือบัญชีบริการที่ไม่ควรมีการเรียกใช้ พร้อมพิจารณาบันทึกและตรวจสอบการเข้าถึง raw.githubusercontent.com และ api.github.com เทียบกับพฤติกรรมพื้นฐานของผู้ใช้จริง นอกจากนี้ควรบังคับใช้นโยบายควบคุมสื่อ USB อย่างเข้มงวด ปิดการรันไฟล์อัตโนมัติจากไดรฟ์ภายนอก และเฝ้าระวังไฟล์ .LNK หรือไฟล์บีบอัดที่ปรากฏขึ้นที่ root ของอุปกรณ์ถอดได้
ในระดับการตรวจจับ ควรตั้งกฎแจ้งเตือนสำหรับสคริปต์ PowerShell ที่สแกนไดเรกทอรีแบบเรียกซ้ำและบีบอัดไฟล์จำนวนมากตามเงื่อนไขเวลาแก้ไขล่าสุด รวมถึงบล็อกและตรวจสอบการเข้าถึงโดเมนพิมพ์ผิดที่เลียนแบบสำนักข่าว และนำ IoC ด้านล่างไปเพิ่มในระบบ threat intelligence เพื่อเทียบกับบันทึก DNS และพร็อกซีย้อนหลัง
Indicators of Compromise (IoCs)
หมายเหตุ: อินดิเคเตอร์ต่อไปนี้ถูก defang (ใส่วงเล็บคั่นจุด) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ
| Indicator | ประเภท | รายละเอียด |
|---|---|---|
theprints[.]org | Domain | โดเมนพิมพ์ผิดเลียนแบบสำนักข่าว The Print (theprint[.]in) ใช้โฮสต์สคริปต์/เพย์โหลด |
indiatodays[.]org | Domain | โดเมนพิมพ์ผิดเลียนแบบสำนักข่าว India Today (indiatoday[.]in) ใช้โฮสต์สคริปต์/เพย์โหลด |