Иранская группировка Mirage Kitten организовала кампанию кибершпионажа, нацеленную на разработчиков программного обеспечения. Злоумышленники создают поддельные аккаунты рекрутеров и предлагают кандидатам пройти технические испытания. Внутри этих заданий скрыты две ранее не задокументированные программы удалённого доступа - NodeRabbit и PollCat. После запуска вредоносного кода атакующие получают контроль над рабочей станцией и доступ к внутренним системам компании.
Описание
Первые заражения выявили на устройстве в Афганистане. Затем более новые варианты вредоносных программ обнаружили в Египте и Эфиопии. Жертвы работают в организациях из сферы финансовых технологий, авиаперевозок и авиакосмической промышленности. Кроме того, аналитики видели загрузки заражённых архивов из Индии, Турции, Израиля, Ирака, Германии и Ирландии. Это говорит о широком распространении материалов, но не подтверждает успешные атаки в этих странах.
Механика обмана построена на доверии, которое разработчики испытывают к процессу найма. Жертве предлагают вакансию и просят выполнить задание: исправить ошибки в программе. Кандидат получает архив с исходным кодом, устанавливает библиотеки и запускает проект. Вместе с обычными компонентами в систему незаметно попадает вредоносная программа.
В одном из таких заданий разработчикам предложили починить приложение для управления задачами. Как выяснили аналитики, проект содержал скрытый пакет, который при запуске устанавливал контакт с командно-контрольным сервером злоумышленников. На выполнение давалось три часа, при этом кандидатам запрещалось пользоваться ИИ-ассистентами. Такое требование, по мнению исследователей, объясняется тем, что современный инструмент проверки кода мог бы мгновенно заметить подозрительный компонент.
Обе вредоносные программы написаны на языке JavaScript и работают на Windows, Linux и macOS. Для Mirage Kitten это первый публично задокументированный случай применения технологий, популярных в среде разработчиков. Ранее группировка использовала классические бэкдоры и средства обхода сетевых ограничений. Переход на кроссплатформенные инструменты существенно расширяет охват атак.
Программа NodeRabbit имеет несколько версий, которые отличаются по возможностям. Ранний вариант умеет выполнять команды, собирать сведения о компьютере и сети, удалять и перемещать файлы, а также запускать дополнительные скрипты. Для связи с серверами управления используются зашифрованные сообщения, поэтому вредоносный трафик сложно отличить от обычного.
Вторая версия NodeRabbit приспособлена для работы в корпоративных сетях. При обнаружении признаков изолированной среды или запущенных антивирусных анализаторов она имитирует обычные запросы к известным сайтам и завершает работу, не раскрывая себя. Дополнительно реализована поддержка корпоративных прокси-серверов, которые фильтруют исходящий интернет-трафик. Это позволяет вредоносной программе связываться с сервером управления даже при строгих сетевых политиках.
Третья версия NodeRabbit получила более широкий набор команд - 23 вместо 11. Среди новых функций поиск подключённых дисков, завершение запущенных процессов, замена адресов командных серверов и сбор почтовых адресов из архивов Microsoft Outlook. Особый интерес вызывает механизм закрепления в системе через расширение для редактора Visual Studio Code. Вредоносная программа создаёт расширение, замаскированное под ИИ-помощника. Оно активируется после запуска редактора и повторно запускает код NodeRabbit. Чтобы не вызывать подозрений, злоумышленники заимствуют имя издателя из официально установленных расширений, однако не воспроизводят цифровую подпись.
Второй механизм закрепления использует систему контроля версий Git. Троян встраивает свой код в специальные обработчики событий, которые срабатывают при выполнении привычных для разработчика операций - например, после слияния веток или переключения между ними. В такие моменты NodeRabbit запускается снова. Благодаря этому атакующие делают обычную работу в репозитории триггером для повторного заражения.
Вторая вредоносная программа PollCat распространяется через отдельное тестовое задание, защищённое одноразовыми паролями. Однако ввод пароля не обязателен для запуска вредоносного кода: троян начинает связь с командным сервером ещё до того, как кандидат введёт код. Даже неверный пароль не остановит его работу, а лишь ограничит доступ к видимой части приложения.
PollCat закрепляется в системе стандартными способами в зависимости от операционной системы: через планировщик задач в Windows и записи автозапуска в Linux и macOS. Программа умеет перемещать и удалять файлы, создавать архивы, скрыто запускать процессы и выполнять произвольный код. Кроме того, она может исследовать окружение и искать на компьютере следы продуктов 24 поставщиков средств защиты, включая Microsoft, Cisco, Fortinet, CrowdStrike и Kaspersky.
Для управления вредоносными программами Mirage Kitten использует легитимные облачные сервисы, в том числе Microsoft Azure и Cloudflare. В адресах серверов иногда встречались названия атакуемых организаций, поэтому сетевой трафик выглядел как обычное взаимодействие корпоративных приложений с облаком. По оценкам аналитиков, всего удалось связать с группировкой около 11 инфраструктурных активов, задействованных в этой кампании.
Mirage Kitten также известна под именами UNC1549, Smoke Sandstorm и Nimbus Manticore. Группировку связывают с Ираном. Её активность прослеживается как минимум с 2022 года, когда специалисты компании Mandiant начали отслеживать связанные с ней операции. Организация исторически атакует стратегически важные предприятия Ближнего Востока и Африки, особенно в авиационной, оборонной и технологической отраслях. Для шпионажа она уже применяла фиктивные вакансии и облачные сервисы, однако новая кампания показывает качественный сдвиг: атакующие адаптируют вредоносные инструменты под повседневную работу программиста.
Разработчики представляют особый интерес для кибершпионажа, поскольку через их компьютеры открывается доступ к исходному коду, внутренним репозиториям, системам сборки и учётным данным. Использование распространённых платформ вроде Node.js и продуктов Microsoft делает вредоносную активность менее заметной, чем обычные исполняемые файлы. В таких условиях компаниям рекомендуется запускать кодовые задания от неизвестных рекрутеров в изолированных средах и проверять все зависимости проекта перед запуском. Разработчикам стоит обращать внимание на нестандартные требования, например запрет на использование ИИ-помощников или давление за счёт жёстких временных рамок, которые могут указывать на попытку скрыть вредоносный код.
Индикаторы компрометации
