Il gruppo iraniano Nimbus Manticore sfrutta falsi annunci di lavoro e test di programmazione per distribuire trojan di accesso remoto (RAT) su sistemi Linux, macOS e Windows, colpendo sviluppatori tramite archivi di sfide di coding compromessi.
Il gruppo di hacker iraniano Nimbus Manticore è stato collegato a due nuove famiglie di malware che segnano un'evoluzione delle sue tecniche e un ampliamento degli obiettivi, includendo ora anche sistemi Linux e Apple macOS. Questi attacchi sfruttano trojan di accesso remoto (RAT) multipiattaforma sviluppati in Node.js e JavaScript. L'azienda di sicurezza russa Kaspersky ha identificato i malware come NodeRabbit e PollCat.
Il primo campione di NodeRabbit è stato individuato in Afghanistan, seguito da altri casi in Egitto ed Etiopia. Secondo il ricercatore di Kaspersky Omar Amin, gli operatori distribuiscono NodeRabbit tramite messaggi di spear-phishing su LinkedIn e altre piattaforme di ricerca lavoro, inviando archivi di sfide di programmazione compromessi. Anche PollCat, scritto in JavaScript offuscato, viene diffuso con la stessa tecnica.
Come funziona l'attacco tramite sfide di coding
L'attività sospetta in Afghanistan è iniziata con un file ZIP ("Front-Technical-Challenge.zip") ospitato su AWS, inviato come parte di una presunta selezione per un ruolo di ingegnere. Il gruppo si è finto recruiter di una grande azienda tecnologica, invitando la vittima a risolvere un compito tecnico.
L'archivio conteneva il codice sorgente di uno strumento di project management chiamato Taskflow, chiedendo di correggere bug nel frontend senza modificare il file "server.js", dichiarato "privo di errori". In realtà, proprio in questo file era nascosto il codice malevolo: la prima riga importava un pacchetto npm trojanizzato, "colorized_terminal" versione 2.1.0, incluso direttamente nella cartella node_modules. All'importazione, il pacchetto avviava in background un impianto malevolo da node_modules/.cache/.320697f1/index.js.
Caratteristiche dei RAT NodeRabbit e PollCat
NodeRabbit comunica con tre indirizzi C2 su Azure tramite API per registrare informazioni, ricevere comandi e inviare risultati. Supporta 11 comandi, tra cui raccolta di dettagli di sistema, esecuzione di comandi shell, lettura e scrittura di file, gestione di directory e modifica dell'intervallo di beacon. Kaspersky ha trovato varianti di NodeRabbit anche in Egitto ed Etiopia, con pacchetti npm e endpoint diversi. La persistenza varia in base al sistema operativo: chiave Run su Windows, cron su Linux e launch agent su macOS, simulando aggiornamenti di Edge o Intel Driver & Support Assistant.
PollCat, distribuito anch'esso tramite sfide di programmazione, crea un'attività pianificata giornaliera per la persistenza e supporta 22 comandi, tra cui operazioni su file, esecuzione di shell, caricamento/scaricamento file, esecuzione di JavaScript, caricamento DLL, gestione di archivi ZIP e inventario di processi e volumi. PollCat cerca cartelle di 24 fornitori software e di sicurezza, inviando l'inventario a un endpoint specifico. Le somiglianze strutturali e operative con il backdoor MiniFast, già attribuito a Nimbus Manticore, rafforzano il collegamento, così come l'uso di domini Azure e Cloudflare per il C2.
Obiettivi e implicazioni per la sicurezza
Il passaggio a strumenti multipiattaforma consente agli attaccanti di gestire un unico codice per Windows, Linux e macOS, mimetizzandosi nei normali ambienti di sviluppo. La tecnica di distribuzione, però, resta fedele allo stile storico di Mirage Kitten: l'uso di identità di recruiter su LinkedIn per colpire settori critici in Medio Oriente e Africa a fini di spionaggio informatico. Gli esperti raccomandano massima attenzione a offerte di lavoro sospette e archivi di test di coding ricevuti da contatti non verificati.
