Kaspersky GReAT ha individuato una campagna mirata condotta da Mirage Kitten, che utilizza false comunicazioni di reclutamento su LinkedIn e un nuovo spyware multipiattaforma basato su Node.js e JavaScript. La campagna prende di mira i settori dell’aviazione e del fintech in Medio Oriente e Africa, in particolare in Egitto, Etiopia e Afghanistan. Il malware collegato a questi nuovi attacchi è stato rilevato anche in diversi altri Paesi, tra cui Germania, Turchia, Israele, India e Irlanda. La scoperta fa seguito alla recente individuazione, da parte di Kaspersky, di una nuova backdoor per Windows di Mirage Kitten, segnalata a luglio.
L’esca: falsi reclutatori del settore tecnologico su LinkedIn
La catena di attacco inizia con tecniche di social engineering. Su LinkedIn, gli autori dell’attacco si fingono specialisti nel reclutamento di talenti presso importanti aziende tecnologiche e contattano ingegneri informatici che lavorano nei settori dell’aviazione e della tecnologia finanziaria. I candidati vengono invitati a sostenere una prova tecnica e ricevono un link per scaricare una “sfida di programmazione”, ospitata su un legittimo servizio di archiviazione cloud Amazon. Per mettere sotto pressione i candidati, gli autori dell’attacco impongono un limite di tempo rigoroso, compreso tra una e tre ore, e sconsigliano l’uso di assistenti di programmazione basati sull’intelligenza artificiale, che probabilmente segnalerebbero il codice dannoso nascosto all’interno del pacchetto.
Una volta che lo sviluppatore carica ed esegue la sfida di programmazione sulla propria postazione di lavoro, ha inizio l’infiltrazione. Mentre la vittima è concentrata sul lavoro sui prototipi software, il malware si installa segretamente in background.
Il passaggio a nuove tattiche
In precedenza, Mirage Kitten si avvaleva di programmi nativi scritti in C, C++ o Go, destinati esclusivamente ad ambienti Windows. Riscrivendo il proprio arsenale in Node.js e JavaScript, il gruppo ha ora sviluppato un’unica base di codice in grado di attaccare Windows, macOS e Linux.
Kaspersky ha identificato due nuove famiglie di malware impiegate in questa campagna, ciascuna utilizzata in base alla specifica vittima. La prima è NodeRabbit, un trojan di accesso remoto (RAT) basato su Node.js e nascosto all’interno di comuni pacchetti di sviluppo. Consente agli autori degli attacchi di ottenere un controllo approfondito del computer infettato. Per mantenere il proprio accesso, il malware utilizza sofisticati metodi di persistenza mirati agli sviluppatori, come l’installazione di meccanismi che avviano automaticamente la minaccia ogni volta che questi salva o integra il codice del proprio progetto. Anche il secondo malware è un trojan di accesso remoto, questa volta basato su JavaScript, chiamato PollCat. Attende che i candidati inseriscano una “password monouso”, fornita dal “reclutatore”, per accedere alla sfida, quindi raccoglie informazioni di sistema, esamina le directory e invia i dati agli autori dell’attacco.
“Il passaggio dal malware tradizionale compilato alle minacce basate su JavaScript rappresenta una svolta nelle tattiche di Mirage Kitten. Dirottando il processo di reclutamento e iniettando codice direttamente negli strumenti utilizzati quotidianamente dagli sviluppatori, il gruppo riesce a eludere i sistemi di sicurezza aziendali. Gli sviluppatori dispongono in genere di privilegi di accesso elevati all’interno delle reti aziendali, il che li rende un bersaglio di altissimo valore per lo spionaggio informatico avanzato”, ha commentato Omar Amin, Security Expert di Kaspersky GReAT.
Il report completo è consultabile su Securelist.com.
Per proteggersi da Mirage Kitten e da alter minacce APT, Kaspersky consigli alle aziende di:
- Utilizzare le soluzioni della linea di prodotti Kaspersky Next per proteggere l’azienda da un’ampia gamma di minacce. Le soluzioni offrono protezione in tempo reale, visibilità sulle minacce e capacità di analisi e risposta tipiche delle soluzioni EDR e XDR, per aziende di qualsiasi dimensione e settore.
- Adottare i Managed Security Services di Kaspersky, quali Compromise Assessment, Managed Detection and Response (MDR) e/o Incident Response, che coprono l’intero ciclo di gestione degli incidenti, dall’identificazione delle minacce alla protezione continua e alla risoluzione dei problemi. Questi servizi aiutano a proteggersi dagli attacchi informatici evasivi, a indagare sugli incidenti e a fornire competenze aggiuntive anche nel caso in cui un’azienda non disponga di personale specializzato in sicurezza informatica.
- Offrire ai professionisti della sicurezza informatica una visibilità approfondita sulle minacce che prendono di mira l’azienda. Kaspersky Threat Intelligence fornisce loro un contesto ricco e significativo durante l’intero ciclo di gestione degli incidenti e li aiuta a identificare tempestivamente i rischi informatici.
