Transparent Tribe, 비공개 GitHub 저장소를 C2로 활용한 신규 Rust 백도어 배포

한 줄 요약

파키스탄 연계 해킹 그룹 Transparent Tribe(일명 APT36)가 인도·아프가니스탄의 정부 및 국방 기관을 노린 새로운 사이버 첩보 캠페인이 포착됐습니다. 이번 공격에서는 Rust 언어로 만든 백도어 RUSTYSHADE를 포함해 총 4종의 신규 악성코드가 사용됐으며, 일반적인 공격자 서버 대신 비공개 GitHub 저장소를 명령·제어(C2) 통신 채널로 활용하는 것이 특징입니다. 악성코드는 화면·웹캠 촬영, 문서 대량 탈취, USB를 통한 내부망 전파까지 수행할 수 있어 피해 범위가 광범위합니다. 또한 인도 유력 언론사를 사칭한 타이포스쿼팅(오탈자 도메인) 사이트를 통해 악성 스크립트를 배포하는 방식도 확인됐습니다. 보안 담당자는 GitHub API를 이용한 비정상 트래픽 탐지와 외부 저장 매체 정책 강화를 즉시 검토해야 합니다.

사건

파키스탄 연계 APT36(Transparent Tribe)이 'Operation RapidRust'라는 작전명 아래 인도·아프가니스탄 정부·국방 기관을 대상으로 4종의 신규 악성코드(RUSTYSHADE·RUSTYMOVE·PSNATCH·BASHNATCH)를 활용한 지속적 침투 캠페인을 수행했다.

영향

백도어를 통한 원격 명령 실행, 화면·웹캠 캡처, 최근 3개월 내 수정된 문서·이미지·DB 등 최대 5GB 규모의 파일 탈취, USB를 통한 내부망 전파가 가능하다. 공격 활동은 2026년 8월 20일~9월 1일 집중됐으며 UTC 기준 평일 오전 4~11시에만 C2 명령이 발송되는 등 고도로 운영됐다.

원인

비공개 GitHub 저장소를 C2로 사용해 기존 보안 솔루션의 탐지를 우회했으며, 인도 언론사를 사칭한 타이포스쿼팅 도메인(theprints[.]org, indiatodays[.]org)으로 악성 PowerShell 스크립트·페이로드를 배포했다.

대응

Zscaler ThreatLabz가 기술 보고서를 통해 IOC(침해지표)와 TTPs를 공개했다. 관련 기관은 GitHub REST API를 경유하는 비정상 트래픽 모니터링, 타이포스쿼팅 도메인 차단, USB 자동실행 정책 강화를 적용해야 한다.

실무 포인트

GitHub·Gist 등 신뢰받는 플랫폼을 C2로 활용하는 전술은 기존 도메인 차단 방식을 무력화한다. 아웃바운드 GitHub API 호출 패턴을 기준으로 이상 탐지 룰을 추가하고, 인도·아프가니스탄 정부·방산 관련 협력사와의 연결 구간을 점검할 것을 권고한다.

본문

Ravie Lakshmanan 2026년 9월 18일 | 악성코드 / 사이버 첩보

파키스탄 연계 위협 그룹 Transparent Tribe(별칭 APT36, Earth Karkaddan)가 인도와 아프가니스탄의 정부·국방 기관을 겨냥한 새로운 사이버 공격에 연루된 것으로 밝혀졌다.

Zscaler ThreatLabz에 따르면, 이번 공격에는 RUSTYSHADE·RUSTYMOVE·PSNATCH·BASHNATCH라는 이전에 문서화된 적 없는 신규 도구들이 사용됐으며, 해당 활동은 Operation RapidRust로 명명됐다.

Zscaler ThreatLabz APT 연구 수석 매니저 Sudeep Singh은 이번 주 발표한 기술 보고서에서 "APT36은 높은 작전 템포를 유지하면서 인도·아프가니스탄의 정부 및 국방 조직을 지속적으로 공격하며 전술·기법·절차(TTPs)를 꾸준히 업데이트해 왔다"고 밝혔다.

이번 발견은 Acronis 위협 연구팀(TRU)이 이 오랜 지속 위협 그룹을 아프가니스탄 통신사 및 남아시아 핵심 인프라 조직을 대상으로 PATCHCORD 백도어를 사용한 별도 캠페인에 연결 지은 지 약 한 달여 만에 나왔다.

이번 캠페인의 주목할 특징은 위협 행위자가 명령·제어(C2) 수단으로 비공개 GitHub 저장소를 활용하고, 인도의 유력 언론사인 The Print·India Today를 사칭하는 타이포스쿼팅(오탈자) 도메인을 등록해 악성 PowerShell 스크립트와 페이로드를 호스팅했다는 점이다.

theprints[.]org — The Print("theprint[.]in") 사칭
indiatodays[.]org — India Today("indiatoday[.]in") 사칭

새로 확인된 4종의 악성코드 중 하나는 백도어, 다른 하나는 내부망 이동(Lateral Movement) 도구이며, 나머지 둘은 각각 Windows와 Linux 시스템을 겨냥한 파일 탈취 프로그램이다.

RUSTYSHADE는 이름에서 알 수 있듯 Rust 언어로 작성된 백도어로, 공격자가 통제하는 비공개 GitHub 저장소를 암호화 C2 통신 채널로 활용한다. 2025년 9월 Gopher Strike 캠페인에서 포착된 Golang 임플란트 GITSHELLPAD와 일부 기능이 겹친다.

구체적으로, 이 악성코드는 GitHub REST API를 통해 비공개 저장소 내 특정 파일을 파싱하고 기록하는 방식으로 양방향 통신을 수행한다. 사용되는 파일명은 아래와 같다.

command.txt — 암호화된 C2 명령 저장
results.txt — 암호화된 명령 실행 결과 저장
info.txt — 시스템 정찰 데이터 저장
heartbeat.txt — 감염 유지 확인을 위한 킵얼라이브 비콘
screenshot.png — 암호화된 데스크톱 스크린샷
webcam_photo.jpg — 암호화된 웹캠 촬영 이미지
download.bin — 암호화된 탈취 파일 내용

RUSTYSHADE는 이 명령들을 통해 스크린샷 촬영, 웹캠 사진 캡처, 파일 작업, 백그라운드 명령 실행 등을 수행할 수 있다.

침해 이후 활동 단계에서, 위협 행위자는 공격자가 관리하는 GitHub Gist에서 파일 탈취 도구를 내려받는 것이 관찰됐으며, Windows·Linux 두 가지 변종이 존재한다.

PSNATCH — PowerShell 기반 탈취 도구로, 지난 3개월 내 수정된 Microsoft Office 문서·이미지·압축파일·미디어·실행파일·스크립트·데이터베이스를 사전 설정된 디렉터리에서 재귀적으로 스캔한 뒤, 감염된 기기 이름을 딴 비공개 저장소로 유출한다. 파일당 최대 1GB, 실행 당 최대 5GB로 수집이 제한된다.
BASHNATCH — PSNATCH와 유사한 bash 스크립트로, Linux 시스템을 표적으로 한다.

가장 흥미로운 것은 RUSTYMOVE로, Rust로 개발된 경량 64비트 Windows USB 전파 도구다. PowerShell 스크립트를 통해 외부 이동식 미디어를 지속적으로 모니터링하고, 감지된 각 외부 드라이브의 루트 디렉터리에 두 가지 사전 준비된 악성 파일을 복사하는 것이 주요 역할이다.