Nhóm tin tặc Iran dùng bài kiểm tra tuyển dụng để phát tán RAT đa nền tảng
"Iranian Nimbus Manticore was linked to two newly identified cross-platform RAT families, NodeRabbit and PollCat, delivered through trojanized coding challenge archives shared via recruiter-themed spear-phishing on job platforms. The malware targets Windows, Linux, and macOS, uses Node.js/JavaScript, and provides remote command execution, host enumeration, file operations, and persistence mechanisms; no CVE is mentioned, and remediation would focus on detecting malicious archives, blocking the C2 infrastructure, and reviewing affected hosts."
Rủi ro cao do RAT đa nền tảng, phát tán qua tuyển dụng giả mạo và khả năng thực thi lệnh từ xa trên nhiều hệ điều hành.
Có thể gây xâm nhập máy trạm nhân sự/kỹ thuật, rò rỉ dữ liệu nội bộ và tăng chi phí điều tra, cô lập, khắc phục.
Nhóm Nimbus Manticore bị gán trách nhiệm cho hai họ mã độc mới là NodeRabbit và PollCat, được phát tán qua các archive bài kiểm tra lập trình đã bị cài cắm mã độc trong chiến dịch spear-phishing mạo danh nhà tuyển dụng trên các nền tảng tìm việc. Theo ghi nhận, các mẫu này nhắm tới Windows, Linux và macOS, được viết bằng Node.js/JavaScript và cung cấp khả năng thực thi lệnh từ xa, liệt kê máy chủ, đọc/ghi tệp, cùng cơ chế duy trì hiện diện.
Mẫu đầu tiên được phát hiện trong một file ZIP chứa bài test kỹ thuật, trong đó mã độc nằm trong tệp server.js và một gói npm trojan hóa như colorized_terminal hoặc pretty-log. Khi chạy, implant sẽ kết nối tới hạ tầng C2 trên Azure qua các API như /api/rabbit/checkin, /api/rabbit/task và /api/rabbit/result để nhận lệnh và gửi kết quả.
Khuyến nghị kỹ thuật gồm kiểm tra các archive bài test đáng ngờ, chặn miền/IP C2, rà soát máy trạm đã mở file tuyển dụng, và theo dõi dấu hiệu duy trì như Run registry, cron hoặc launch agent. Sự kiện này cho thấy kẻ tấn công đang mở rộng công cụ sang mã độc đa nền tảng để tăng phạm vi xâm nhập.