文章总结： 透明部落APT36发动RapidRust行动，使用四款Rust恶意工具，利用GitHub私有仓库作为C2通道，并通过USB摆渡突破物理隔离内网，攻击印度、阿富汗政府及国防军工机构。防御需加强USB管控、监控GitHubAPI异常行为及终端告警，并建议员工警惕伪装PDF的LNK文件。 综合评分： 88 文章分类： 威胁情报,恶意软件,红队,漏洞分析,安全运营

透明部落APT36 RapidRust行动曝光！GitHub充当C2、USB摆渡突破物理隔离内网，政企国防单位高危

原创

AI紫队安全研究 AI紫队安全研究

AI紫队安全研究

2026年9月24日 11:59 广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

重点警示：物理断网不等于绝对安全，只要有USB介质交换，外部网络沦陷机器就可以把威胁带入隔离内网。

三、完整攻击全链路

1. 钓鱼投递入口：使用仿冒新闻媒体的域名（仿冒印度主流新闻网站，typosquat域名如indiatodays[.]org、theprints[.]org），投放PowerShell脚本与载荷；

2. 受害者执行载荷，从Backblaze云存储下载恶意压缩包；

3. 部署RUSTYSHADE主后门，通过GitHub私有仓库建立加密C2通道；

4. 内网侦察：扫描子网存活主机、SMB共享、尝试IPC$横向移动；

5. 按需下发工具：部署PSNATCH/BASHNATCH批量窃取文档；部署RUSTYMOVE开启USB摆渡传播；

6. 情报回传：窃取资料加密上传攻击者GitHub私有仓库；

7. 利用U盘介质，将威胁摆渡到物理隔离的内网环境。

攻击者入侵后典型侦察动作：

执行ipconfig、whoami、tasklist收集本机信息；

全网ping扫描探测内网存活主机，扫描135、445端口；

调用公开IP地理接口获取受害主机公网IP位置；

创建伪装成微软更新的开机计划任务维持持久化；

完成操作后删除攻击中间文件，做简单反取证清理。

四、高风险单位自查清单

重点受害对象

政府外事机构、国防军工配套单位、科研院所、涉外机构，存在物理隔离涉密内网的企业风险极高。

高危企业现状

1. 无管控，员工U盘可以自由在互联网办公电脑与隔离内网之间交叉使用；

2. 企业全盘放行GitHub访问，没有监控非业务进程调用GitHub API行为；

3. 终端缺少EDR行为检测，只依靠传统杀毒软件；

4. 不审计计划任务，对伪装OneDrive更新的恶意启动项缺少告警；

5. 允许LNK快捷方式附件直接进入邮件网关。

五、分层落地防御方案（运维+员工）

🛡运维安全加固

1. USB移动介质严格管控

    涉密/物理隔离内网，实施U盘白名单，禁止外来未经查杀的U盘接入；

    禁止互联网终端U盘直接插隔离内网，介质必须经过专用查杀工作站。

2. 针对GitHub C2特殊检测

    不要直接封禁GitHub，会影响研发业务；重点监控：非开发类进程（powershell、cmd、普通exe）调用GitHub REST API，User‑Agent出现SmartUploader立即告警。

3. 终端行为告警规则

    检索可疑计划任务名称：StandAloneOneDriveUpdater‑2626；

    查找可疑路径：%APPDATA%\SmartUploader；

    监控大量AES加密HTTPS向外POST，报文存在HCENC1:特征前缀；

    告警伪装PDF后缀的.LNK快捷文件。

4. 邮件、网页安全

    拦截仿冒新闻类钓鱼域名，过滤LNK恶意快捷附件；

    监控从Backblaze等公有云存储下载未知可执行载荷行为。

5. 内网审计：定期审计子网扫描行为、IPC$空会话连接、445端口批量探测。

👨‍💻员工安全规范

1. U盘不要交叉混用外网办公电脑与涉密内网机器；

2. 警惕后缀.pdf.lnk这类双重后缀伪装文档，系统务必开启显示完整文件扩展名；

3. 收到来自陌生新闻媒体的邮件附件，不直接打开，提交安全部门沙箱检测。

🚨疑似中毒应急处置

1. 受害主机立刻断开网络，保留内存与磁盘取证，不要直接全盘格式化；

2. 查找并删除：SmartUploader目录、可疑OneDrive伪装计划任务；

3. 全盘检索U盘根目录是否存在DriverInstaller.zip、.pdf.LNK摆渡文件；

4. 全部域账号、业务系统、服务器密码重置，开启MFA二次验证；

5. 重点排查所有交叉使用过的USB设备，同时排查物理隔离内网终端，防止摆渡已经成功渗透。

六、安全总结思考

RapidRust行动带来两个非常现实的安全警示：

1. 合法云服务正在大量被APT当作C2指挥基础设施，GitHub、各类对象存储，流量混在正常业务里面，传统域名黑名单防御思路已经捉襟见肘，必须做进程‑行为‑UA上下文的检测；

2. 不要迷信物理隔离安全。只要存在USB介质交换通道，外网沦陷主机就可以通过摆渡木马把威胁带入断网内网，很多国防、科研单位容易忽视这条攻击路径。

防御不能只依靠杀毒软件，USB介质管控、云API异常行为监控、钓鱼源头拦截三者需要同时落地。

互动话题

你们单位涉密内网如何管控U盘移动介质？遇到过伪装PDF的LNK恶意快捷方式吗？评论区交流运维经验！

加入知识星球，可获取权益

一、”全球高级持续威胁：网络世界的隐形战争”，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

 1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

 晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

 技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

 实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

 架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

 大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

 想突破职业天花板的安全工程师/架构师；

 需快速落地安全项目的企业负责人；

 关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AI紫队安全研究 AI紫队安全研究 AI紫队安全研究《透明部落APT36 RapidRust行动曝光！GitHub充当C2、USB摆渡突破物理隔离内网，政企国防单位高危》