サイバーセキュリティ研究者らは、ハッカーが偽のソフトウェアエンジニアリングテストを使い、開発者にこれまで確認されていなかったリモートアクセス型トロイの木馬(RAT)を感染させる標的型キャンペーンを発見しました。
この活動は、中東・アフリカの組織を標的とすることで知られる高度標的型攻撃(APT)グループ「Mirage Kitten」によるものと高い確度で特定されています。
このキャンペーンでは、LinkedInをはじめとする正規の求人プラットフォームを悪用し、偽の採用担当者アカウントを通じてソフトウェアエンジニアに接触します。
被害者はその後、Amazon S3など正規のクラウドインフラ上でホストされたコーディング課題をダウンロードするよう誘導されます。このプロジェクトは一見普通のプログラミング評価課題に見えますが、悪意あるコンポーネントが隠されています。
研究者らは、NodeRabbitとPollCatという2つのマルウェアファミリーを特定しました。いずれもWindows、Linux、macOSで動作するよう設計されたクロスプラットフォーム型のRATです。
これらの使用は、これまでC、C++、Goなどの言語で書かれたネイティブマルウェアに依存してきたMirage Kittenのツールセットにとって、大きな変化を意味します。
感染は、開発者が採用プロセスの一環として技術評価用のアーカイブを受け取ることから始まります。あるサンプルFront-Technical-Challenge.zipには、Express、React、Viteで構築されたTaskFlowアプリケーションが含まれていました。
このプロジェクトのserver.jsファイルは、colorized_terminalバージョン2.1.0という名前の悪意あるnpmパッケージを密かにインポートしていました。
このパッケージはnpmからダウンロードされるのではなく、アーカイブ内にあらかじめ同梱されていました。読み込まれると、node_modules配下の隠しディレクトリからNodeRabbitを起動します。
NodeRabbitは、ホスト名、ユーザー名、オペレーティングシステム、MACアドレスといったホスト情報を収集し、固有のエージェント識別子を生成します。
その後、オペレーティングシステムに応じて永続化を確立します。Windows版はレジストリのRunキーやタスクスケジューラを、Linux版はcronジョブを、macOS版はLaunchAgentsを使用します。
このマルウェアはAzure上でホストされたC2(コマンド&コントロール)インフラと通信します。その通信はAES-256-GCM暗号化で保護されています。
このRATは、システム情報の収集、プロセス一覧の取得、シェルコマンドの実行、ファイルの読み取り・改変、ディレクトリの作成、攻撃者から提供されたJavaScriptの実行が可能です。
研究者らは、解析環境の検出や企業のプロキシ設定への対応など、より高度な機能を備えた複数のNodeRabbitの亜種を確認しています。
2つ目のマルウェアファミリーであるPollCatは、RankChallenge-reactというReactベースのコーディング課題内に隠されていました。
その起動コンポーネントは悪意あるRATを自動的に読み込むため、被害者が偽の課題のOTP認証を完了する前に感染が始まる可能性がありました。
PollCatは、ファイル操作、プロセス管理、コマンド実行、JavaScript実行、システム探索、ファイル転送に関する多数のコマンドをサポートしています。
また、securelistによると、開発環境やセキュリティソフトウェアのディレクトリを探索し、価値ある情報を探し出す機能も備えています。特に注目すべきは、開発者のワークフローを通じて永続化を確立する能力です。
あるNodeRabbitの亜種は、AIコーディングアシスタントを模した「GitHub Copilot Helper」という名前の偽Visual Studio Code拡張機能を作成できます。また別の機能では、Gitフックに起動コマンドを注入し、通常のリポジトリ操作によってマルウェアが発動するようにします。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/fake-coding-tests-deliver-backdoors/
