Iránból szeretettel: állásajánlatnak álcázott kódtesztekkel fertőztek fejlesztőket

A Kaspersky kutatói szerint az iráni kötődésű Nimbus Manticore, más néven Mirage Kitten hackercsoport hamis toborzóként keresett meg szoftverfejlesztőket LinkedInen és más álláskereső platformokon, majd technikai feladatnak álcázott fertőzött archívumokat küldött nekik. A cél az volt, hogy a jelöltek saját gépükön nyissák meg és futtassák a „coding challenge” fájljait, amelyek valójában távoli hozzáférést biztosító kártevőket telepítettek.

A kampányban két korábban nem dokumentált malware-család jelent meg: a NodeRabbit és a PollCat. Mindkettő Node.js-re és JavaScriptre épül, ezért nem csak Windows, hanem Linux és macOS rendszereken is működhet. Ez különösen veszélyes fejlesztői környezetben, ahol a macOS és a Linux teljesen hétköznapi munkaeszköz, a támadók pedig pontosan ezt használták ki, nem valami primitív „kattints ide, nyertél egy iPhone-t” típusú csalásról van szó, hanem szakmai helyzetbe csomagolt hírszerzési műveletről.

Az egyik dokumentált esetben a támadó egy nagy technológiai vállalat HR-esének adta ki magát, majd technikai feladat kitöltésére kérte a célpontot. A fertőzött csomag egy CTF-szerű React-felületet is tartalmazott, ami a Kaspersky szerint akár AI-segítséggel is készülhetett, majd ebbe illeszthették be a rosszindulatú komponenseket. A PollCat például rendszerinformációkat gyűjtött, könyvtárakat pásztázott, fájlokat keresett, és adatokat küldött vissza a támadóknak. A célpontok köre alapján a művelet nem általános kiberbűnözésnek, hanem kémkedésnek tűnik. A beszámolók szerint technológiai, légiközlekedési, űripari, pénzügyi és más stratégiai ágazatokban dolgozó szakemberek lehettek a célkeresztben, főként a Közel-Keleten és Afrikában. A módszer lényege egyszerű: nem a céget támadják meg először, hanem azt az embert, aki kódot futtat, hozzáférések közelében dolgozik, és egy hihető állásajánlat miatt hajlandó megnyitni egy technikai feladatot.

A tanulság elég prózai: a fejlesztőknek ma már egy állásinterjús kódtesztet sem szabad automatikusan ártalmatlan ZIP-fájlnak tekinteniük. Ismeretlen toborzótól érkező technikai feladatot érdemes elkülönített, eldobható környezetben megnyitni, a recruiter személyazonosságát hivatalos csatornán ellenőrizni, és különösen gyanúsnak venni minden olyan utasítást, amely azt kéri, hogy a jelölt ne vizsgáljon meg bizonyos fájlokat.

Forrás: The Hacker News