Nimbus Manticore маскирует трояны под тестовые задания для разработчиков

Группа Nimbus Manticore, которую также называют Iranian Dream Job, стала использовать фиктивные предложения о работе для доставки новых троянов удалённого доступа NodeRabbit и PollCat. Как сообщает «Лаборатория Касперского», злоумышленники связываются с разработчиками через LinkedIn и другие платформы поиска работы, выдавая себя за рекрутеров, и предлагают выполнить тестовое задание.

Один из обнаруженных архивов, Front-Technical-Challenge.zip, был размещён в AWS и выдавался за задание на вакансию инженера. Внутри находился исходный код приложения для управления проектами Taskflow: кандидату предлагали за три часа исправить ошибки во фронтенде и не менять файл server.js, поскольку он якобы уже работает корректно. Именно в server.js был спрятан вредоносный код.

Этот файл подключал троянизированный npm-пакет colorized_terminal версии 2.1.0. Пакет не публиковали в реестре npm: его добавили непосредственно в каталог node_modules внутри архива. При запуске он незаметно запускал NodeRabbit в фоновом режиме.

NodeRabbit написан на Node.js и JavaScript и способен работать в Windows, Linux и macOS. Троян передаёт сведения о системе на управляющий сервер, получает команды, выполняет произвольные команды оболочки, собирает данные о процессах, файлах, сетевых адаптерах и настройках DNS. Он также умеет записывать и запускать временные Node.js-скрипты, после чего удалять их.

Для закрепления в системе NodeRabbit создаёт ключ Run в реестре Windows, задание cron в Linux или launch agent в macOS. В двух вариантах вредоносная активность маскируется под обновление Microsoft Edge либо Intel Driver & Support Assistant. В третьем варианте учтена среда Windows Subsystem for Linux: троян создаёт ежедневную задачу Windows, запускающую скрипт через wscript.exe и wsl.exe.

Исследователи обнаружили первый образец NodeRabbit на компьютере в Афганистане, а ещё два варианта — на отдельных устройствах в Египте и Эфиопии. В последующих версиях применялся другой встроенный npm-пакет, pretty-log, а также появились проверки на среду анализа и частичная поддержка корпоративных прокси.

У третьего варианта есть дополнительные функции: он может искать адреса учётных записей в файлах Outlook OST и PST, просматривать подключённые диски Windows и WSL, искать Git-репозитории в типичных каталогах разработки и внедрять загрузчик в Git hooks. Также троян пытается установить поддельное расширение VS Code под названием GitHub Copilot Helper для дополнительного закрепления.

По данным «Лаборатории Касперского», PollCat тоже является кроссплатформенным трояном удалённого доступа на обфусцированном JavaScript и распространяется тем же способом — через архивы с поддельными техническими заданиями. Ранее Nimbus Manticore использовала инструменты на C, C++ и Go, а новые находки указывают на расширение её набора средств в сторону кроссплатформенных JavaScript-инструментов.