パキスタン連携の攻撃グループ「Transparent Tribe」、GitHubをC2に悪用する新たなRust製バックドアを展開

要点

• セキュリティ企業Zscaler ThreatLabzの調査により、パキスタン連携の脅威グループ「Transparent Tribe」による新たなサイバー攻撃作戦「Operation RapidRust」が判明した。

• 攻撃対象はインドおよびアフガニスタンの政府機関や防衛関連組織であり、Rust言語で書かれた新種バックドアを含む4種類の独自マルウェアが確認された。

• 攻撃者はC2（指令・統制）通信の基盤としてプライベートGitHubリポジトリを悪用し、暗号化通信を行っていた。

• 感染拡大のためにUSBドライブを監視・媒介するツールのほか、インドの著名ニュースメディアに偽装したドメインも使われていた。

• サイバーセキュリティ企業のZscaler ThreatLabzは、パキスタンとの連携が指摘される標的型サイバー攻撃グループ「Transparent Tribe」による最新の攻撃活動を確認したとする調査レポートを公開した。「Operation RapidRust」と名付けられたこの作戦では、インドやアフガニスタンの政府・防衛関連組織が標的となっている。

• 今回の攻撃では、Rust言語で作られた新種のバックドア「RUSTYSHADE」をはじめとする未報告のマルウェア群が投入された。正規の開発プラットフォームであるGitHubのプライベートリポジトリをC2（Command and Control：感染端末に指示を出し制御するサーバー）の通信インフラとして悪用している点が特徴だ。

新たに特定された4種のマルウェアファミリ

Zscalerの分析によると、今回のキャンペーンで確認されたマルウェアは「RUSTYSHADE」「RUSTYMOVE」「PSNATCH」「BASHNATCH」の4種類で構成されている。

主軸となる「RUSTYSHADE」は、Rust言語で構築されたバックドア（侵入先で外部からの遠隔操作を可能にする不正プログラム）だ。攻撃者が管理する非公開のGitHubリポジトリとGitHub REST APIを通じて双方向通信を行い、暗号化されたコマンドの受信やデータの送受信を実行する。

具体的には、リポジトリ内に配置された以下のようなファイルを通じて情報のやり取りが行われる仕組みとなっていた。

• command.txt: 暗号化されたC2コマンドの受け渡し
• results.txt: 実行結果の格納
• info.txt: システム偵察情報の保存
• heartbeat.txt: 端末が感染状態にあることを知らせる生存信号（ハートビート）
• screenshot.png: 暗号化されたデスクトップ画面のキャプチャ画像
• webcam_photo.jpg: 暗号化されたWebカメラの撮影画像
• download.bin: 暗号化された持ち出し対象ファイル

これらの機能により、攻撃者は遠隔からデスクトップの画面撮影、Webカメラによる撮影、各種ファイル操作、バックグラウンドでのコマンド実行を行える状態にしていたという。なお、この仕組みは2025年9月に「Gopher Strike」作戦で確認されたGo言語製のインプラント「GITSHELLPAD」と機能的な重複が見られると指摘されている。

USB経由で拡散する「RUSTYMOVE」

攻撃者が水平移動（侵入後にネットワーク内を移動して感染を広げる手法）のために開発したのが「RUSTYMOVE」だ。こちらもRust言語で書かれた軽量な64ビットWindows向けツールである。

RUSTYMOVEはPowerShellスクリプトを用いてPCに接続された外付けのリムーバブルメディア（USBメモリなど）を常時監視する。外部ドライブが認識されると、そのルートディレクトリへ自動的に以下の2つの不正ファイルを配置する。

• DriverInstaller.zip: バックドア「RUSTYSHADE」を内包したアーカイブ
• DocScanner-11-Aug-2026-5-37pm.pdf.LNK: 解凍後にRUSTYSHADEを実行させるコマンドが含まれると推測されるショートカットファイル

WindowsおよびLinuxに対応したファイル窃取スクリプト

侵入後の情報収集フェーズでは、攻撃者が管理するGitHub Gistからファイル窃取ツールが取得され、実行されていた。環境に合わせて2つの形式が用意されている。

• PSNATCH: Windows環境向けのPowerShellスクリプト
• BASHNATCH: Linux環境向けのBashスクリプト

いずれも事前に指定されたフォルダ内を再帰的に探索し、直近3か月以内に更新されたファイルを抽出する。対象はMicrosoft Office文書、画像、圧縮ファイル、メディア、実行ファイル、スクリプト、データベースなど多岐にわたる。収集されたデータは、感染したマシンの名前が付けられたプライベートリポジトリへ転送される。なお、収集処理には負荷や検知を考慮した制限が設けられており、1ファイルあたり1GB、1回の実行につき合計5GBまでに設定されていた。

現地大手メディアへの偽装と厳格な活動時間帯

攻撃インフラの面では、悪意あるPowerShellスクリプトやペイロードを配信するため、インドの大手ニュースメディアに偽装したタイポスクワッティングドメイン（正規ドメインの綴りを模倣した悪意あるドメイン）が登録・使用されていた。

• theprints[.]org（正規メディア「The Print」のドメイン theprint[.]in を模倣）
• indiatodays[.]org（正規メディア「India Today」のドメイン indiatoday[.]in を模倣）

活動パターンの分析では、一連の攻撃の大部分が2026年8月20日から9月1日の間に集中して観測された。攻撃者はシステムやユーザー、ネットワークの偵察を行った後に次段階のペイロードを展開している。さらに、C2コマンドの発行は平日の協定世界時（UTC）午前4時から午前11時（日本時間午後1時から午後8時）の間に限定されていた。

Transparent Tribe（別名APT36、Earth Karkaddan）を巡っては、約1か月前にもAcronis Threat Research Unit（TRU）によって、バックドア「PATCHCORD」を用いたアフガニスタンの通信事業者や南アジアの重要インフラ組織への攻撃が報告されていた。ZscalerのシニアマネージャーであるSudeep Singh氏は、同グループが活動ペースを高く維持しながら戦術・技術を進化させ、南アジア地域の政府・防衛機関への標的型攻撃を継続しているとまとめている。