El grupo de hacking iraní Nimbus Manticore ha desarrollado dos nuevos malwares multiplataforma, NodeRabbit y PollCat, capaces de infectar Windows, Linux y macOS. Los atacantes utilizan perfiles falsos de reclutadores en LinkedIn para engañar a ingenieros con falsas ofertas de empleo y retos de programación infectados. Estas herramientas permiten el acceso remoto y el robo de información, marcando una evolución hacia el uso de JavaScript y Node.js para ampliar sus objetivos.

 El grupo de hacking iraní Nimbus Manticore ha sido vinculado a dos familias de malware no documentadas anteriormente que resaltan la evolución continua de su conjunto de herramientas y probablemente expanden su radio de acción para infectar sistemas Linux y Apple macOS utilizando troyanos de acceso remoto (RAT) multiplataforma desarrollados con Node.js y JavaScript.

La empresa de ciberseguridad rusa Kaspersky está rastreando estas cepas de malware bajo los nombres de NodeRabbit y PollCat. La primera muestra de NodeRabbit fue descubierta en un sistema en Afganistán, con avistamientos posteriores en dos máquinas distintas ubicadas en Egipto y Etiopía.

"Sus operadores distribuyen [NodeRabbit] a través de mensajes de spear-phishing en LinkedIn y otras plataformas de búsqueda de empleo que contienen archivos de desafíos de programación troyanizados", afirmó el investigador de seguridad de Kaspersky Omar Amin aquí. "Al igual que NodeRabbit, PollCat es un RAT multiplataforma, pero está escrito en JavaScript ofuscado y también se distribuye a través de archivos de desafíos de programación troyanizados".

Si bien Nimbus Manticore ha empleado históricamente malware escrito en C, C++ y Go, y ha dependido de técnicas de secuestro del orden de búsqueda de DLL para desplegarlos, los últimos hallazgos marcan la incursión del actor de amenazas en herramientas multiplataforma para lograr sus objetivos.

Este desarrollo llega en medio de una rápida expansión del arsenal de malware del grupo de hacking en los últimos meses, que incluye:

* Un backdoor para Windows llamado NightLedger
* Dos tunelizadores de WebSocket personalizados, BridgeHead y ArcBridge
* Una herramienta de tunelización SSH inversa
* Un backdoor que comparte similitudes con TWOSTROKE

El punto de partida de la actividad sospechosa observada en el sistema basado en Afganistán comienza con un archivo ZIP ("Front-Technical-Challenge.zip") alojado en AWS que, según se evalúa, fue entregado como parte de una oportunidad de trabajo para un rol de ingeniería. Se dice que el actor de amenazas se hizo pasar por un especialista en adquisición de talento de una importante empresa tecnológica para abordar a un ingeniero de software e invitarlo a completar una tarea técnica.

Vale la pena señalar que Nimbus Manticore también es rastreado bajo el apodo de Iranian Dream Job por su uso de señuelos temáticos de contratación para engañar a los objetivos potenciales y lograr que infecten sus propias computadoras, una táctica adoptada hace tiempo por el Grupo Lazarus, vinculado a Corea del Norte.

El archivo contiene el código fuente de una herramienta de gestión de proyectos llamada Taskflow e instruye a los candidatos a "buscar y corregir todos los errores en el código del frontend" como parte de un "desafío de ingeniería" en tres horas y sin depender de herramientas asistidas por inteligencia artificial (IA).

Las instrucciones piden específicamente a los candidatos que se abstengan de modificar el componente del servidor de la aplicación ("server.js"), afirmando que está "libre de errores y funciona correctamente". Sin embargo, es en este archivo donde se encuentra incrustado el código malicioso.

"La primera línea de server.js importaba un paquete npm troyanizado llamado colorized_terminal, versión 2.1.0", dijo Kaspersky. "Los atacantes empaquetaron el paquete directamente en el directorio node_modules del archivo de la tarea del desafío en lugar de publicarlo en el registro de npm. Al ser importado, el paquete lanzó silenciosamente un implante desde node_modules/.cache/.320697f1/index.js como un proceso de fondo separado".

El implante en cuestión es NodeRabbit, que se comunica con una de tres direcciones de comando y control (C2) alojadas en Azure a través de tres puntos finales de API distintos:

* /api/rabbit/checkin, para registrar la información del agente y del host
* /api/rabbit/task, para consultar comandos
* /api/rabbit/result, para enviar los resultados de la tarea

El malware admite 11 comandos que le permiten recopilar detalles del host, listar procesos en ejecución, ejecutar comandos de shell arbitrarios, enumerar directorios, leer un archivo en trozos y devolver datos codificados en Base64, decodificar texto en Base64 y escribirlo en un desplazamiento de archivo elegido, eliminar un archivo o eliminar recursivamente un directorio, crear directorios recursivamente, enumerar adaptadores, direcciones MAC, direcciones IP y configuraciones de DNS, y alterar el intervalo de baliza.

Otra capacidad notable de NodeRabbit es escribir un script de Node.js codificado en Base64 en un archivo ".tmp" con nombre aleatorio, ejecutarlo y luego eliminarlo para cubrir los rastros de la actividad maliciosa.

Kaspersky dijo que identificó dos variantes más de NodeRabbit que comparten el mismo linaje de código, cada una recuperada de Egipto y Etiopía:

* Una segunda variante que utiliza un paquete npm troyanizado diferente llamado pretty-log (versión 2.1.0) en lugar de colorized_terminal, mientras que también se termina si detecta que se está ejecutando en un entorno de análisis y implementa parcialmente el soporte de proxy corporativo
* Una tercera variante que también se lanza utilizando el paquete npm pretty-log pero utiliza un conjunto diferente de puntos finales de API para realizar las mismas tareas:
* /sdk/v2/ready
* /sdk/v2/config
* /sdk/v2/events

La persistencia se logra dependiendo del sistema operativo: una clave de registro de ejecución de Windows en Windows, una entrada de cron para Linux y un agente de lanzamiento en macOS. El mecanismo de persistencia imita ya sea una actualización del navegador Microsoft Edge (primera variante) o el Asistente de Soporte y Controladores de Intel (segunda variante).

La tercera variante, por otro lado, no suplanta ningún software legítimo, pero también tiene en cuenta el Subsistema de Windows para Linux (WSL) para crear una tarea de Windows diaria a las 10 a.m. que lanza un archivo de Visual Basic Script a través de wscript.exe y "wsl.exe". Además, cuenta con 12 comandos nuevos para:

* Enumerar letras de unidad de Windows accesibles o unidades montadas en WSL
* Ejecutar un proceso
* Matar un proceso por PID o nombre de imagen
* Reemplazar el servidor C2 activo e intentar mantener la nueva configuración
* Devolver el servidor C2 actual
* Recolectar direcciones de cuentas de artefactos OST y PST de Outlook
* Intentar instalar una extensión falsa de VS Code llamada "GitHub Copilot Helper" y un valor de ejecución de Windows para mayor persistencia
* Verificar indicadores de persistencia seleccionados de VS Code, tareas programadas y claves de ejecución
* Eliminar la extensión falsa
* Buscar repositorios de Git en ubicaciones de desarrollo recientes y comunes
* Inyectar un lanzador en los hooks de Git de un repositorio para mayor persistencia
* Eliminar el lanzador de hook de Git marcado

Señuelos de desafíos de programación

También se ha observado a Nimbus Manticore utilizando señuelos de desafíos de programación ("RankChallenge-react-6uJSX3-main.zip") distribuidos a través de evaluaciones de desarrolladores con tiempo limitado para entregar PollCat.

"Aunque el ejercicio visible no es un CTF de seguridad, el proyecto utiliza terminología de CTF en varios lugares", dijo Kaspersky. "El paquete raíz se llama ctf-server, el backend imprime 'CTF server running', el frontend utiliza varias claves de almacenamiento ctf-* y el tutorial se refiere a path/to/ctf".

"Estas etiquetas repetidas, junto con instrucciones que no coinciden completamente con la aplicación entregada, son consistentes con un proyecto generado por plantillas o asistido por IA. Una explicación posible es que el atacante pidió a un asistente de codificación de IA que creara una plataforma de React estilo CTF y posteriormente insertó los componentes maliciosos".

Un tutorial en PDF presente en el archivo pide al objetivo que haga clic en Continuar e ingrese una contraseña de un solo uso (OTP) de seis dígitos proporcionada por el atacante que se actualiza cada 30 segundos, y complete el desafío en una sesión de una hora. El cronograma comprimido para activar la evaluación es probablemente un intento de crear una falsa sensación de urgencia y hacer que ejecuten el proyecto lo antes posible para aumentar la probabilidad de infección.

A pesar de la ventana de sesión de una hora, PollCat se ejecuta independientemente del proceso de autenticación OTP, sin verse afectado por el éxito o el fracaso del paso de validación. Una validación fallida impide que la víctima acceda a las funciones protegidas del desafío, mientras que una validación exitosa de OTP emite un JWT e inicia una instancia adicional de PollCat.

Para la persistencia, el malware crea una tarea programada diaria en Windows, Linux o macOS, y luego se conecta a un servidor C2 para enviar información básica del host y esperar más instrucciones. Admite 22 comandos y se comunica a través de siete puntos finales de API:

* /beacon, para registrar el cliente y obtener un socketId
* /gate/hello, para enviar información del host, usuario, dominio, sistema operativo y su nivel de privilegio actual
* /gate/fetch?token=<socketId>, para consultar comandos
* /gate/submit, para enviar una estructura de resultado de comando codificada en Base64
* /vault/<uuid>, para obtener un archivo alojado y escribirlo en la máquina de la víctima
* /vault/push, para cargar un archivo local o trozo de archivo al C2
* /gate/track, para informar el progreso de la carga de trozos

Los comandos abarcan todo el espectro típico de un backdoor, permitiendo al operador realizar operaciones de archivos, ejecutar comandos de shell, cargar/descargar archivos, ejecutar JavaScript, cargar DLLs, crear o extraer un archivo ZIP y enumerar procesos en ejecución, unidades, volúmenes o puntos de montaje. Tres comandos, específicamente WS_DOWNLOAD, REQUEST_ELEVATION y PERSIST, no están implementados actualmente.

PollCat también busca carpetas que coincidan con 24 cadenas predefinidas correspondientes a software y proveedores de seguridad, incluyendo Google, Microsoft, Palo Alto Networks, Cisco, VMware, Fortinet, Citrix, Check Point, Juniper Networks, LogMeIn, Sophos, Symantec, Trend Micro, McAfee, Kaspersky Lab, ESET, Bitdefender, Avast, CrowdStrike, SentinelOne, Malwarebytes, Brave, Tencent y Naver.

Cuando se encuentra una carpeta coincidente, el malware inventaría el contenido raíz de la carpeta pero no escanea recursivamente el directorio del producto. Los resultados se transmiten entonces en formato JSON al punto final "/api/system-details/result".

Los vínculos de la actividad con Nimbus Manticore provienen de las similitudes estructurales, la obtención de comandos, el tiempo de baliza y el conjunto de comandos entre PollCat y MiniFast (también conocido como MiniUpdate o Retrograde), un backdoor previamente atribuido al grupo, así como el uso de Azure Websites y dominios respaldados por Cloudflare para el C2.

"El cambio a scripts multiplataforma brinda a los operadores un único código base que se ejecuta en Windows, Linux y macOS, con cargas útiles que se mezclan naturalmente en las estaciones de trabajo de los desarrolladores", dijo Kaspersky. "El mecanismo de entrega, sin embargo, sigue siendo consistente con la técnica histórica de Mirage Kitten: el uso de perfiles de reclutadores en LinkedIn para dirigirse a sectores críticos en Oriente Medio y África con fines de ciberespionaje".

Fuente:
THN