Rust, GitHub e USB: come un noto cluster di spionaggio ha mantenuto il proprio vantaggio

Alcune campagne sono degne di nota non perché inventino una nuova idea, ma perché uniscono vecchie idee in un modo più difficile da interrompere. L'attività collegata ad APT36 e monitorata come Operation RapidRust rientra in questo schema. Si concentra su obiettivi governativi e della difesa in India e Afghanistan, e mette in evidenza una scelta progettuale che i team di sicurezza non possono ignorare: malware costruito per spostarsi tra sistemi connessi e reti isolate senza affidarsi a un singolo percorso di distribuzione fragile.

Informazioni rapide

• Operation RapidRust è stata osservata nell'agosto 2026 ed è associata a un rinnovato sforzo di spionaggio.
• La campagna sembra utilizzare una suite di malware basata su Rust anziché un singolo payload autonomo.
• Il toolkit viene descritto come in grado di supportare il comando e controllo occulto, il furto di dati e la propagazione in reti isolate.
• I bersagli indicati sono organizzazioni governative e della difesa in India e Afghanistan.
• Il più ampio schema tecnico suggerisce che supporti rimovibili e servizi cloud vengano trattati come parte della superficie di attacco.

Perché il design conta

Rust non è la storia in sé. Conta perché può aumentare il costo dell'analisi, soprattutto quando i difensori stanno già gestendo più loader, stealer e metodi di trasporto. In questo caso, il toolkit segnalato sembra essere costruito come un piccolo ecosistema piuttosto che come un implant usa e getta. È uno schema di spionaggio familiare: un componente per l'assegnazione dei compiti, un altro per la raccolta e un altro ancora per muoversi in ambienti con vincoli.

Uno dei segnali difensivi più importanti è l'enfasi sulla propagazione in reti isolate. Questa frase non va letta come prova di una violazione riuscita di un air gap. Indica però un modello di minaccia che presume che supporti rimovibili, trasferimenti offline o manipolazione umana possano colmare il divario. In ambienti governativi e della difesa, spesso è questo l'anello debole, non il firewall.

L'analisi di Netcrook suggerisce anche perché i servizi cloud meritino attenzione in questo contesto. Quando gli operatori instradano le comunicazioni o la fase di staging attraverso piattaforme legittime, possono far sembrare il traffico malevolo un normale utilizzo aziendale. Questo non rende il rilevamento impossibile, ma spinge i difensori verso un controllo più rigoroso dell'egress, un monitoraggio più stretto delle identità e una fiducia più selettiva negli strumenti di collaborazione.

Al momento della pubblicazione, le informazioni pubbliche non hanno ancora stabilito in modo completo la causa tecnica principale, la portata totale degli utenti coinvolti o se i sistemi downstream siano stati compromessi. Le informazioni disponibili supportano un'analisi del rischio, non un'affermazione definitiva di compromissione completa.

Per i difensori, la lezione è pratica: considerare i controlli USB, il monitoraggio degli script e le regole di accesso in uscita come un unico piano di controllo, non come problemi separati. Una campagna che si estende su Windows, Linux e supporti rimovibili può sfuggire alle lacune lasciate da un monitoraggio troppo ristretto. L'avvertimento più ampio è semplice - quando il toolkit di un attaccante è progettato per il movimento, il perimetro deve essere progettato per creare attrito.

Conclusione

Operation RapidRust ricorda che le tecniche di spionaggio sono sempre più modulari. Una backdoor Rust, un ponte tramite supporti rimovibili e un'assegnazione di compiti basata sul cloud possono essere combinati per rendere una campagna più resiliente senza renderla magica. La vera lezione non è che un linguaggio o una piattaforma siano pericolosi di per sé. È che i difensori devono osservare come le tecnologie ordinarie vengano concatenate in un percorso operativo occulto.

TECHCROOK

USB hardware write blocker: Un accessorio pratico per i team che devono ispezionare supporti rimovibili senza consentire al dispositivo collegato di scriverci sopra. È comunemente usato in ambito forense, nella risposta agli incidenti e nei flussi di lavoro di trasferimento controllato. Non rende l'uso dell'USB privo di rischi, ma può aggiungere un utile livello di disciplina nella gestione quando file offline, unità condivise o la raccolta di prove fanno parte del processo.

Scheda Techcrook: USB hardware write blocker

WIKICROOK

• Command-and-control (C2): Il canale che gli aggressori usano per inviare istruzioni al malware e ricevere i dati sottratti.
• Rust: Un linguaggio di programmazione con solide funzioni di sicurezza che può comunque produrre binari malevoli.
• Supporti rimovibili: Archiviazione portatile come le unità USB che possono trasportare malware tra sistemi.
• Rete air-gapped: Un sistema o una rete mantenuti fisicamente separati da Internet e da altri collegamenti esterni.
• Controllo dell'egress: Regole che limitano dove i sistemi interni possono inviare traffico in uscita.