קבוצת הריגול האיראנית Nimbus Manticore מפיצה נוזקות חדשות דרך משרות מזויפות

חוקרי Kaspersky חשפו שתי משפחות נוזקה חדשות, NodeRabbit ו-PollCat, שמשמשות את קבוצת הריגול האיראנית Nimbus Manticore (המוכרת גם בשמות Iranian Dream Job ו-Mirage Kitten) בקמפיין המתחזה לגיוס עובדים. הקבוצה פונה למפתחי תוכנה ומהנדסים בפלטפורמות כמו לינקדאין, ומפתה אותם להוריד "אתגרי קוד" שבפועל מכילים נוזקה חוצת-פלטפורמות.

איור קונספטואלי של ראיון עבודה מזויף עם קוד זדוני מוסתר

הפרטים

לפי הדוח, התוקפים מתחזים לגורמי גיוס (talent acquisition) ופונים למועמדים פוטנציאליים, בעיקר מפתחי תוכנה ומהנדסים בתחומי הטכנולוגיה ותשתיות קריטיות. הם מציעים "אתגר תכנות" לביצוע במסגרת זמן קצרה של שעה עד שלוש שעות — לחץ זמן שנועד לגרום למועמד להריץ את הקובץ בלי לבדוק אותו. נצפו נפגעים באפגניסטן, מצרים ואתיופיה.

NodeRabbit כתובה ב-Node.js ומופצת דרך חבילות npm מזויפות, ותומכת בכ-11 עד 12 פקודות: מיפוי המחשב הנגוע, רשימת תהליכים, פעולות קבצים, הרצת פקודות מעטפת, השגת התמדה (רישום ב-Windows, משימות cron ב-Linux, ו-launch agents ב-macOS) וגם דגימת מאגרי Git. PollCat, שכתובה ב-JavaScript מעורפל ומופצת דרך אפליקציית React מזויפת בסגנון אתגר תכנות, תומכת בכ-22 פקודות וכוללת יכולת לזהות כ-24 ספקי אבטחה שונים כדי להתחמק מהם. שתי הנוזקות פועלות על Windows, Linux, macOS וגם WSL, ומשתמשות בתשתית פיקוד ובקרה המתארחת על Azure.

נקודות לשים לב

אם אתה מפתח תוכנה ומקבל פנייה לא יזומה עם "אתגר קוד" בלוח זמנים לוחץ — זה דגל אדום קלאסי, גם אם הפרופיל בלינקדאין נראה אמיתי.
לפני הרצת קובץ שהתקבל כחלק מתהליך גיוס — בדוק אותו בסביבה מבודדת (sandbox) ולא במחשב העבודה או האישי הרגיל.
אם הארגון שלך מעסיק מפתחים בתפקידים טכניים — שקול להנחות אותם במפורש לגבי הסיכון הזה כחלק מהדרכת מודעות אבטחה.
סימנים לחשד: חבילות npm לא מוכרות שהותקנו כחלק מ"אתגר", תהליכים שמתחברים לכתובות Azure לא מזוהות, או משימות מתוזמנות חדשות שנוצרו בלי הסבר.
אין לראות בקמפיין הזה איום שמוגבל רק ל-Windows — הכלים תוכננו מראש לפעול גם על macOS ו-Linux, כך שמשתמשי מחשבי מאק ותחנות פיתוח לינוקס אינם פטורים.