Wprowadzenie do problemu / definicja luki
Na przełomie 2025/2026 roku odnotowano kolejną kampanię cyber-szpiegowską wymierzoną w indyjskie organizacje rządowe, akademickie i „strategiczne”. Badacze przypisują ją grupie APT36, znanej też jako Transparent Tribe — aktorowi powiązanemu z Pakistanem, aktywnemu co najmniej od 2013 r.
Warto podkreślić: tu nie chodzi o pojedynczą „lukę” w sensie CVE, ale o łańcuch infekcji oparty na socjotechnice (spear-phishing) i dostarczaniu złośliwych plików, które uruchamiają wieloetapowe komponenty malware. To klasyczny model APT: długofalowy dostęp, rozpoznanie, eksfiltracja, a nie szybka monetyzacja.
W skrócie
- Kampania startuje od spear-phishingu z archiwum ZIP, zawierającego plik podszywający się pod PDF.
- Po otwarciu, ładunek dostarcza dwa komponenty malware nazwane ReadOnly i WriteOnly.
- Funkcje obejmują m.in. zdalną kontrolę, kradzież danych, trwałą obserwację, zrzuty ekranu oraz monitorowanie schowka.
- Zachowanie malware ma się dostosowywać do wykrytego systemu AV na stacji ofiary.
- To kolejny przykład ewolucji APT36, które w ostatnich latach chętnie wykorzystuje „zaufane” formaty plików i legalne usługi/infrastrukturę do ukrywania działań.
Kontekst / historia / powiązania
Transparent Tribe (APT36) jest opisane w MITRE ATT&CK jako grupa podejrzewana o powiązania z Pakistanem, historycznie celująca w organizacje dyplomatyczne, obronne i badawcze w Indiach oraz Afganistanie.
W ujęciu „taktyk i technik” MITRE wskazuje m.in. na typowe dla tej grupy podejścia: rejestrację domen podszywających się pod legalne serwisy, spear-phishing (załączniki i linki) oraz uruchamianie złośliwych plików przez użytkownika (user execution).
Z perspektywy ostatnich kampanii (2024–2025) widać też rosnący nacisk na:
- nadużywanie usług chmurowych i komunikatorów w łańcuchu dostarczania i C2 (np. Telegram, Google Drive, Slack),
- „sprytne” nośniki startowe (LNK, CPL, skróty, pliki udające dokumenty),
- oraz dopracowywanie odporności na detekcję.
Analiza techniczna / szczegóły luki
1) Wejście: spear-phishing + ZIP + „PDF”
Według opisu kampanii, atak rozpoczyna się od wiadomości spear-phishingowych z archiwum ZIP, w którym znajduje się plik przebrany za dokument PDF. To celowy wybór: formaty „biurowe” i „dokumentowe” przez cały czas mają wysoki współczynnik otwarć w środowiskach urzędowych i akademickich.
2) Payload: ReadOnly + WriteOnly (modułowość)
Po uruchomieniu pliku ofiara otrzymuje dwa komponenty złośliwego systemu określane jako ReadOnly i WriteOnly. Z punktu widzenia obrony to istotne, bo rozdzielenie funkcji na moduły zwykle ułatwia:
- etapowanie (najpierw „cichy” loader, potem funkcje szpiegowskie),
- mieszanie technik w zależności od środowiska,
- oraz utrudnianie analizy.
3) Zachowanie na hoście: adaptacja do AV i funkcje szpiegowskie
Opisane możliwości obejmują zdalne sterowanie, eksfiltrację danych i utrzymywanie obserwacji (surveillance). Wprost wymieniane są m.in. zrzuty ekranu, monitorowanie schowka i zdalny pulpit.
Szczególnie ważne jest monitorowanie schowka: ta technika bywa używana nie tylko do „podsłuchiwania” wklejanych fragmentów (np. haseł, danych z dokumentów), ale też do podmiany wartości kopiowanych przez użytkownika — w artykule wskazano choćby scenariusz „podmiany” przy transakcjach kryptowalutowych.
4) Dlaczego to APT, a nie „zwykły malware”?
Badacze podkreślają, iż to kampania nastawiona na długoterminowy nadzór, a nie szybki zysk czy destrukcję. To spójne z profilem Transparent Tribe w MITRE (spear-phishing, infrastruktura, długofalowe kampanie).
Praktyczne konsekwencje / ryzyko
Dla organizacji publicznych i uczelni skutki są zwykle „ciche”, ale bardzo kosztowne:
- wyciek dokumentów (plany, korespondencja, projekty badawcze),
- dostęp do skrzynek i zasobów współdzielonych,
- rekonesans pod ataki łańcuchowe (np. na podmioty powiązane),
- utrata poufności przez zrzuty ekranu i monitoring aktywności użytkownika.
Dodatkowo, jeżeli malware faktycznie dostosowuje zachowanie do zainstalowanego AV, to organizacje z „różnorodnym” parkiem endpointów mogą mieć nierówny poziom widoczności incydentu (część hostów wykryje, część nie).
Rekomendacje operacyjne / co zrobić teraz
Poniżej zestaw działań, które realnie ograniczają ryzyko przy kampaniach spear-phishingowych APT36 (bez czekania na „łatkę”):
- Higiena poczty i załączników
- Sandboxing załączników oraz URL-i (detonacja w izolacji).
- Blokowanie/oznaczanie archiwów z podejrzanymi cechami (nietypowe rozszerzenia, pliki „udające PDF”, podejrzane skróty).
- Wymuszenie ostrzeżeń dla ZIP z plikami wykonywalnymi / nietypowymi kontenerami.
- Hardening stacji roboczych
- Ogranicz uprawnienia użytkowników (least privilege).
- Zablokuj uruchamianie podejrzanych typów plików z katalogów użytkownika (reguły ASR/EDR), a także nietypowe „launch chain” (np. dokument → interpreter/skrót → pobranie → wykonanie).
- Detekcja i threat hunting
- Poluj na nietypowe procesy związane z funkcjami szpiegowskimi: masowe zrzuty ekranu, nietypowe użycie schowka, anomalie w zdalnym dostępie.
- Koreluj zdarzenia „user execution” po kliknięciu załącznika z późniejszym ruchem sieciowym (zwłaszcza do świeżych domen/usług pośrednich). MITRE wskazuje, iż spear-phishing i infrastruktura domenowa to częsty wzorzec dla tej grupy.
- Ograniczanie kanałów C2 i nadużyć chmury
Check Point pokazywał, iż Transparent Tribe potrafi wykorzystywać popularne usługi (np. Telegram/Google Drive/Slack) w dystrybucji i C2. W praktyce oznacza to: segmentację, egress filtering i monitoring anomalii do usług chmurowych (zwłaszcza „nietypowych” dla danej roli endpointa).
Różnice / porównania z innymi przypadkami
Ta kampania (ZIP + „PDF” + ReadOnly/WriteOnly) wpisuje się w szerszy trend ewolucji Transparent Tribe:
- Windows: rozwój niestandardowych RAT/loaderów i kanałów C2
Check Point opisał rozwój ElizaRAT oraz nadużycia usług chmurowych do dystrybucji i komunikacji, a także różne metody uruchomienia payloadu w kampaniach 2023–2024. - Linux: wykorzystywanie „desktop entry” i pozornie niegroźnych artefaktów
CloudSEK i Sekoia opisywały kampanie, w których phishing prowadził do uruchomienia złośliwych elementów w środowiskach linuksowych (np. poprzez pliki .desktop), a następnie do komunikacji C2 (m.in. WebSocket) i uruchomienia końcowego RAT.
Wspólny mianownik: socjotechnika + „zaufany” nośnik startowy + etapowanie + adaptacja i ukrywanie.
Podsumowanie / najważniejsze wnioski
- Nowa kampania przypisywana APT36/Transparent Tribe ponownie pokazuje, iż spear-phishing pozostaje najskuteczniejszym „wektorem APT” przeciw administracji i nauce.
- Komponenty ReadOnly/WriteOnly oraz deklarowana adaptacja do AV sugerują nacisk na utrzymanie się w środowisku i długofalową eksfiltrację.
- Obrona nie powinna opierać się na jednym punkcie (np. AV), tylko na warstwach: bramka pocztowa, izolacja/sandbox, hardening endpointów, monitoring egress i polowanie na TTP.
Źródła / bibliografia (wybrane)
- The Record (Recorded Future News) — opis kampanii, ReadOnly/WriteOnly, TTP, cele (2 stycznia 2026). (The Record from Recorded Future)
- MITRE ATT&CK — profil grupy Transparent Tribe (G0134), techniki i kontekst. (MITRE ATT&CK)
- Check Point Research — ewolucja malware APT36 (ElizaRAT), nadużycia usług chmurowych (4 listopada 2024). (Check Point Research)
- Sekoia.io — analiza łańcucha infekcji i narzędzi w kampanii DeskRAT (23 października 2025). (Sekoia.io Blog)
- CloudSEK — kampania APT36 z phishingiem ZIP i mechanizmem .desktop oraz rekomendacjami defensywnymi (21 sierpnia 2025). (CloudSek)
