El grupo Mirage Kitten (también conocido como UNC1549), vinculado a Irán, está engañando a desarrolladores de software mediante ofertas de empleo falsas en LinkedIn y otras plataformas. Los atacantes utilizan perfiles de reclutadores para enviar pruebas de programación que, al ser ejecutadas, instalan malware de acceso remoto (RAT) multiplataforma en los equipos de las víctimas.

Los desarrolladores de software están siendo el objetivo de ofertas de trabajo falsas que convierten las pruebas de programación rutinarias en una vía para el malware de acceso remoto.

La campaña utiliza perfiles de reclutadores en LinkedIn y otras plataformas de empleo para entregar proyectos que parecen lo suficientemente seguros como para ejecutarse. La operación se atribuye al grupo vinculado a Irán Mirage Kitten, también conocido como UNC1549.

Distribuye NodeRabbit y PollCat, dos troyanos de acceso remoto recientemente documentados que funcionan en Windows, Linux y macOS, poniendo en riesgo estaciones de trabajo de desarrolladores muy valiosas.

PolySwarm indicó en un informe que la campaña ha afectado a organizaciones en los sectores de fintech, aviación y aeroespacial.

Los analistas observaron víctimas en Egipto, Etiopía y Afganistán, mientras que el envío de archivos maliciosos sugiere una exposición más amplia. Esta amenaza es importante porque los desarrolladores descargan, inspeccionan y ejecutan código desconocido regularmente como parte de sus procesos de contratación.

Un compromiso exitoso puede darle a un intruso un punto de apoyo en una máquina que contiene código fuente, repositorios internos, credenciales y acceso a servicios corporativos. El grupo utiliza un enfoque de ingeniería social familiar, pero su enfoque en los desarrolladores eleva el riesgo.

Utilizan ofertas de trabajo falsas en LinkedIn

El ataque comienza con una cuenta de reclutador convincente y una invitación para completar una evaluación técnica. Un archivo observado, Front-Technical-Challenge.zip, presentaba un proyecto de Express, React y Vite llamado TaskFlow, junto con un README que instruía a los candidatos a corregir defectos del frontend.

Las instrucciones afirmaban que server.js era seguro y no debía cambiarse. En su lugar, su primera línea importaba la versión 2.1.0 de colorized_terminal, un paquete malicioso incluido dentro de node_modules en lugar de obtenerse desde npm; al cargarlo, se ejecutaba NodeRabbit desde una ruta de caché oculta.

El señuelo daba a los destinatarios tres horas para responder y les decía que no utilizaran asistentes de IA, añadiendo una presión que desalienta una revisión cuidadosa.

Esto refleja ataques anteriores de desafíos de entrevistas de trabajo falsas, donde una evaluación de apariencia normal se convierte en el mecanismo de entrega en lugar de un ejecutable sospechoso.

Un desafío separado basado en React, RankChallenge-react, contenía PollCat y mostraba una pantalla de contraseña de un solo uso controlada por el atacante.

El malware podía registrarse en la infraestructura de comando y control y comenzar a solicitar instrucciones mientras la aplicación se cargaba, incluso si el candidato nunca se autenticaba.

Las herramientas de desarrollador se convierten en rutas de persistencia

NodeRabbit recopila detalles del host y de la red, enumera procesos, ejecuta comandos de shell y manipula archivos.

Las versiones más recientes verifican entornos de análisis, comprenden la configuración de proxy empresarial y pueden cambiar sus servidores de comandos activos, lo que hace que el malware sea más resistente dentro de las redes corporativas.

Su tercera variante expande a 23 comandos y busca direcciones de Outlook, unidades montadas, proyectos de desarrollo y repositorios Git.

Puede crear una extensión maliciosa de Visual Studio Code disfrazada de GitHub Copilot Helper, e intentar iniciar el payload después de que el editor se abra.

El malware también puede insertar un lanzador en los hooks post-merge o post-checkout de Git, por lo que la actividad ordinaria del repositorio puede reiniciarlo.

Ese uso de flujos de trabajo confiables se asemeja a los riesgos resaltados en los ataques de cadena de suministro de binding.gyp, donde archivos de proyecto pasados por alto pueden activar código dañino.

PollCat proporciona transferencias de archivos, inventario del sistema, ejecución de procesos ocultos, acceso a shell y ejecución arbitraria de JavaScript.

Establece persistencia a través de tareas programadas en Windows, entradas de cron en Linux y mecanismos de cron o LaunchAgent en macOS, mientras verifica rastros de productos de seguridad.

Tú, como desarrollador, deberías verificar de forma independiente a los reclutadores y las vacantes a través de los canales oficiales de la empresa antes de abrir cualquier prueba.

Deberías revisar cada dependencia y archivo de proyecto oculto, evitar ejecutar código no solicitado en tu estación de trabajo principal y utilizar un entorno aislado para las evaluaciones legítimas.

Los equipos de seguridad deben monitorear los endpoints de los desarrolladores en busca de actividad inusual de Node.js, extensiones de editor recién creadas y cambios inesperados en los hooks de Git.

Revisar árboles de dependencias sospechosos y restringir el acceso a los repositorios de código fuente puede ayudar a reducir la exposición, especialmente cuando los paquetes maliciosos de npm atacan a los desarrolladores a través de herramientas familiares.

La campaña demuestra que un mensaje de reclutamiento puede ser un punto de entrada estilo cadena de suministro, y no simplemente un intento de phishing.

Una revisión de código cuidadosa, verificaciones de identidad y la separación entre las tareas de entrevista y los sistemas corporativos te dan una mejor oportunidad de detener estos ataques antes de que un RAT logre establecerse.

Fuentes:
https://cybersecuritynews.com/hackers-use-fake-linkedin-job-offers/