Iranian Hackers Pose as Recruiters to Deliver Cross-Platform RATs Through Coding Tests

El grupo de piratas informáticos conocido como Nimbus Manticore ha expandido sus capacidades hacia sistemas operativos Linux y Apple macOS mediante el uso de dos familias de troyanos de acceso remoto multiplataforma: NodeRabbit y PollCat, desarrollados en Node.js y JavaScript. Estas amenazas han sido detectadas y rastreadas por la compañía de ciberseguridad Kaspersky, tras identificar casos iniciales y posteriores en diversas regiones, incluyendo Afganistán, Egipto y Etiopía.

Para llevar a cabo las infecciones, los atacantes se hacen pasar por especialistas en captación de talento en redes profesionales como LinkedIn y otras plataformas de empleo. Contactan a ingenieros de software para ofrecerles oportunidades laborales y les envían archivos comprimidos que contienen supuestas pruebas técnicas de programación. Estos archivos ocultan código malicioso en los componentes del servidor o utilizan paquetes npm troyanos que ejecutan los implantes en segundo plano al iniciar los proyectos.

Ambos programas maliciosos emplean mecanismos de persistencia adaptados al sistema operativo de la víctima mediante entradas de registro, tareas programadas o agentes de lanzamiento, imitando en ocasiones actualizaciones de software legítimas. Una vez activos, se comunican con servidores de comando y control alojados en Azure para enviar información del host, recibir instrucciones y ejecutar numerosas órdenes que van desde operaciones con archivos y comandos de consola hasta la búsqueda de directorios específicos vinculados a proveedores de seguridad y tecnología.