Unos hackers iraníes se hacen pasar por reclutadores para distribuir RAT multiplataforma a través de pruebas de programación

El grupo de pi­ra­tas in­for­má­ti­cos co­no­ci­do como Nim­bus Man­ti­co­re ha ex­pan­di­do sus ca­pa­ci­da­des hacia sis­te­mas ope­ra­ti­vos Linux y Apple macOS me­dian­te el uso de dos fa­mi­lias de tro­ya­nos de ac­ce­so re­mo­to mul­ti­pla­ta­for­ma: No­de­Rab­bit y Poll­Cat, de­sa­rro­lla­dos en Node.js y Ja­vaS­cript. Estas ame­na­zas han sido de­tec­ta­das y ras­trea­das por la com­pa­ñía de ci­ber­se­gu­ri­dad Kas­persky, tras iden­ti­fi­car casos ini­cia­les y pos­te­rio­res en di­ver­sas re­gio­nes, in­clu­yen­do Af­ga­nis­tán, Egip­to y Etio­pía.

Para lle­var a cabo las in­fec­cio­nes, los ata­can­tes se hacen pasar por es­pe­cia­lis­tas en cap­ta­ción de ta­len­to en redes pro­fe­sio­na­les como Lin­ke­dIn y otras pla­ta­for­mas de em­pleo. Con­tac­tan a in­ge­nie­ros de soft­wa­re para ofre­cer­les opor­tu­ni­da­des la­bo­ra­les y les en­vían ar­chi­vos com­pri­mi­dos que con­tie­nen su­pues­tas prue­bas téc­ni­cas de pro­gra­ma­ción. Estos ar­chi­vos ocul­tan có­di­go ma­li­cio­so en los com­po­nen­tes del ser­vi­dor o uti­li­zan pa­que­tes npm tro­ya­nos que eje­cu­tan los im­plan­tes en se­gun­do plano al ini­ciar los pro­yec­tos.

Ambos pro­gra­mas ma­li­cio­sos em­plean me­ca­nis­mos de per­sis­ten­cia adap­ta­dos al sis­te­ma ope­ra­ti­vo de la víc­ti­ma me­dian­te en­tra­das de re­gis­tro, ta­reas pro­gra­ma­das o agen­tes de lan­za­mien­to, imi­tan­do en oca­sio­nes ac­tua­li­za­cio­nes de soft­wa­re le­gí­ti­mas. Una vez ac­ti­vos, se co­mu­ni­can con ser­vi­do­res de co­man­do y con­trol alo­ja­dos en Azure para en­viar in­for­ma­ción del host, re­ci­bir ins­truc­cio­nes y eje­cu­tar nu­me­ro­sas ór­de­nes que van desde ope­ra­cio­nes con ar­chi­vos y co­man­dos de con­so­la hasta la bús­que­da de di­rec­to­rios es­pe­cí­fi­cos vin­cu­la­dos a pro­vee­do­res de se­gu­ri­dad y tec­no­lo­gía.