https://cyberveille.ch/tags/psnatch/ Recent content in PSNATCH on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 16 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-16-apt36-deploie-rustyshade-rustymove-psnatch-et-bashnatch-dans-l-operation-rapidrust/ Wed, 16 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-16-apt36-deploie-rustyshade-rustymove-psnatch-et-bashnatch-dans-l-operation-rapidrust/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 16 septembre 2026 par Zscaler ThreatLabz, cet article détaille l&rsquo;<strong>Opération RapidRust</strong>, une campagne attribuée au groupe <strong>APT36</strong> (nexus Pakistan), observée en août 2026. La campagne cible des <strong>entités gouvernementales et de défense en Inde et en Afghanistan</strong>.</p> <h2 id="-nouveaux-outils-découverts">🛠️ Nouveaux outils découverts</h2> <ul> <li><strong>RUSTYSHADE</strong> : backdoor 64 bits écrit en <strong>Rust</strong>, utilisant des <strong>dépôts GitHub privés</strong> comme canal C2 via l&rsquo;API REST GitHub. Les communications sont chiffrées avec <strong>AES-256-GCM</strong>, la clé étant dérivée du SHA256 d&rsquo;un token GitHub (PAT) codé en dur. Supporte des commandes de capture d&rsquo;écran, de webcam, de navigation de fichiers et d&rsquo;exfiltration.</li> <li><strong>RUSTYMOVE</strong> : outil de propagation USB 64 bits en <strong>Rust</strong>, qui surveille en continu les médias amovibles (USB, SD, MMC, IEEE 1394) et copie des fichiers malveillants pré-stagés vers les lecteurs détectés, permettant d&rsquo;atteindre des <strong>réseaux air-gappés</strong>.</li> <li><strong>PSNATCH</strong> : outil de vol de fichiers basé sur <strong>PowerShell</strong> (Windows), exfiltrant vers des dépôts GitHub privés les fichiers modifiés dans les 120 derniers jours, limité à 1 Go par fichier et 5 Go par exécution.</li> <li><strong>BASHNATCH</strong> : variante <strong>Bash</strong> de PSNATCH ciblant les <strong>environnements Linux</strong>.</li> </ul> <h2 id="-infrastructure">🌐 Infrastructure</h2> <p>APT36 a utilisé :</p>