El grupo de amenazas APT36, vinculado a Pakistán, ha lanzado una campaña denominada RapidRust que utiliza unidades extraíbles infectadas para introducir malware en entornos gubernamentales desconectados de internet. Esta operación, dirigida a India y Afganistán, emplea una puerta trasera, robos de archivos y una herramienta de propagación vía USB para vulnerar redes air-gapped, las cuales están aisladas precisamente para proteger sistemas sensibles.

APT36, un grupo de amenazas vinculado a Pakistán, ha lanzado una campaña que utiliza unidades extraíbles infectadas para introducir malware en entornos gubernamentales desconectados.

La operación, llamada RapidRust, tiene como objetivo la India y Afganistán mediante una puerta trasera, ladrones de archivos y una herramienta de propagación por USB. Este enfoque es importante porque las redes con aislamiento físico (air-gapped) están separadas de internet para proteger sistemas sensibles.

Una unidad USB aún puede salvar esa brecha física cuando se mueve entre un ordenador infectado y uno restringido, un riesgo que también ilustran los informes sobre los ataques de aislamiento físico de GoldenJackal.

Analistas de Zscaler identificaron la actividad en agosto de 2026 y la atribuyeron a APT36. El conjunto de herramientas puede robar documentos, analizar redes locales y llegar a sistemas sin conectividad a internet.

Zscaler indicó en un informe que la campaña combina repositorios privados de GitHub, cargas útiles alojadas en la nube y dominios similares que imitan a los medios de comunicación indios. Estas opciones pueden ayudar a que la actividad se mezcle con el uso normal de la web.

La campaña también muestra cómo una pequeña utilidad de propagación puede crear una exposición grave en entornos controlados. Puede permitir que un usuario transporte la infección a través de un límite de seguridad.

Esto es especialmente relevante para oficinas donde los registros clasificados se mueven entre estaciones de trabajo administrativas y sistemas operativos aislados, ya que una sola unidad no verificada puede socavar esa separación durante las transferencias rutinarias de dispositivos.

APT36 utiliza malware de propagación por USB

En el centro de esta fase se encuentra RUSTYMOVE, un programa ligero para Windows escrito en Rust. Una vez instalado en un ordenador comprometido, vigila continuamente los dispositivos extraíbles USB, SD, MMC e IEEE 1394, comprobando cada dos segundos si hay nuevos medios.

Cuando encuentra una unidad, la herramienta copia dos archivos preparados en su carpeta raíz: un archivo que contiene la puerta trasera RUSTYSHADE y un acceso directo disfrazado de documento PDF.

Los investigadores consideran con alta confianza que abrir el acceso directo ejecuta la puerta trasera archivada tras la extracción, convirtiendo la unidad extraíble en un mecanismo de entrega.

RUSTYMOVE rastrea el identificador único de una unidad para no copiar repetidamente los mismos archivos. No tiene un canal de comandos de red integrado ni una carga útil oculta propia, lo que sugiere que su función específica es propagar el ataque.

Técnicas similares transmitidas por USB aparecieron en la campaña SnakeDisk de Mustang Panda, subrayando por qué el aislamiento por sí solo no es una salvaguarda completa.

APT36 también creó una tarea programada activada por el inicio de sesión llamada StandAloneOneDriveUpdater-2626 para iniciar la herramienta y hacer que parezca un actualizador.

Si quieres defenderte, deberías restringir los medios extraíbles en sistemas sensibles, exigir dispositivos aprobados y escaneados, e investigar archivos de acceso directo inesperados, archivos y tareas programadas que se ejecuten desde directorios de usuarios públicos.

Herramientas de puerta trasera y robo de datos

El componente USB trabaja junto a RUSTYSHADE, una puerta trasera de Rust de 64 bits que utiliza repositorios privados de GitHub controlados por el atacante para recibir comandos y enviar datos robados.

Cifra las comunicaciones, permitiendo que el operador solicite listados de directorios, ejecute comandos de shell, capture capturas de pantalla, tome imágenes de la cámara web y suba archivos.

El uso de una plataforma de desarrollo como canal de control puede complicar la supervisión si tu organización trata todo el tráfico de GitHub como inofensivo. Esa técnica ha aparecido en diversas campañas, incluyendo la de abuso de infraestructura de GitHub, por lo que vale la pena revisar el acceso a la API de los repositorios.

APT36 también utilizó PSNATCH para Windows y BASHNATCH para Linux para buscar carpetas, letras de unidades extraíbles y archivos recientes antes de enviar los datos a repositorios privados.

PSNATCH limita la recolección por tamaño de archivo y rastrea el material subido previamente, lo que le ayuda a realizar transferencias de seguimiento más pequeñas en lugar de tomar repetidamente los mismos datos.

Tras obtener acceso, los operadores ejecutaron comandos para identificar usuarios, procesos, máquinas conectadas, carpetas compartidas y sistemas alcanzables.

Luego probaron los servicios de red e intentaron conexiones a carpetas administrativas remotas, una secuencia que demuestra que la campaña está diseñada para expandirse más allá de su primera víctima.

Los equipos de seguridad deberían bloquear los dominios y URLs listados, buscar los artefactos nombrados y examinar la actividad inusual de PowerShell, el uso de la API de GitHub y las descargas sospechosas de almacenamiento en la nube.

La segmentación de la red y los controles sobre los medios extraíbles son especialmente importantes donde los sistemas gubernamentales o de defensa deben permanecer fuera de línea.

Fuentes:
https://cybersecuritynews.com/apt36-uses-usb/