Die unter dem Namen Mirage Kitten bekannte iranische Bedrohungsgruppe hat ihre Taktiken modernisiert und setzt derzeit eine neue Kampagne gegen Fachkräfte in sensiblen Industriesektoren um.
Laut aktuellen Erkenntnissen des Sicherheitsunternehmens Kaspersky nutzt die Gruppe, die in Fachkreisen auch als UNC1549, Smoke Sandstorm oder Nimbus Manticore geführt wird, gefälschte Rekrutierungsanfragen auf der Plattform LinkedIn, um Schadsoftware zu verbreiten. Im Fokus der Angriffe stehen insbesondere Softwareentwickler aus den Bereichen Luftfahrt, Raumfahrt und Finanztechnologie.
Gezielte Täuschung durch gefälschte Coding-Challenges
Die Angreifer gehen bei ihrer Kontaktaufnahme hochgradig personalisiert vor. Experten von Kaspersky berichten, dass die Zielpersonen über täuschend echt wirkende Profile von Personalvermittlern kontaktiert werden. Im Rahmen eines vermeintlichen Bewerbungsprozesses werden die Betroffenen dazu verleitet, sogenannte Coding-Challenges – also Programmieraufgaben – herunterzuladen.
Diese Aufgaben sind jedoch mit Trojanern präpariert. Sobald die Entwickler den bereitgestellten Code ausführen, wird die eigentliche Schadsoftware auf den Systemen installiert. Diese Methode der Tarnung von Malware als legitime Arbeitsaufgabe weist laut Sicherheitsanalysten deutliche Parallelen zur bekannten „Operation Dream Job“ auf, einer Kampagne, die ursprünglich nordkoreanischen Akteuren zugeschrieben wurde.
Technologische Premiere: Node.js-basierte Fernsteuerungs-Tools
Eine wesentliche Neuerung in der Vorgehensweise von Mirage Kitten ist der Wechsel der technologischen Basis. In einem Anfang September veröffentlichten Bericht dokumentiert Kaspersky erstmals die Nutzung von JavaScript-basierter Malware durch diese Gruppe. Es handelt sich dabei um die erste öffentlich bekannte Instanz, in der die Akteure Node.js für ihre Angriffswerkzeuge verwenden.
Angesichts immer raffinierterer Täuschungsmethoden wie gefälschten Job-Angeboten wird ein proaktiver Schutz für Unternehmen und deren IT-Verantwortliche überlebenswichtig. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt auf, wie Sie Sicherheitslücken ohne hohe Investitionen schließen. Cyber Security: Bedrohungen abwenden und Ihr Unternehmen schützen
Im Zentrum der Kampagne stehen zwei neue Remote Access Trojans (RATs), die als NodeRabbit und PollCat identifiziert wurden:
- NodeRabbit: Dieser Trojaner zeichnet sich durch seine Plattformunabhängigkeit aus. Er ist in der Lage, Systeme unter Windows, Linux und macOS gleichermaßen anzugreifen. Erste Infektionen wurden bereits auf Systemen in Afghanistan, Ägypten und Äthiopien nachgewiesen. Das Tool unterstützt insgesamt 11 spezifische Befehle zur Steuerung der kompromittierten Rechner.
- PollCat: Diese Malware ist komplexer aufgebaut und verfügt über einen Funktionsumfang von 22 Befehlen. Damit bietet sie den Angreifern weitreichende Möglichkeiten zur Spionage und Datenexfiltration.
Um die Entdeckung der Kommunikation zwischen den infizierten Systemen und den Kontrollservern zu erschweren, nutzt die Gruppe eine etablierte Cloud-Infrastruktur. Dabei kommen Dienste von Azure und Cloudflare zum Einsatz, um den schädlichen Datenverkehr im gewöhnlichen Web-Rauschen zu verbergen.
Wer sich mit dem Schutz vor gezielter Manipulation befasst, sollte die psychologischen Taktiken moderner Cyberkrimineller genau kennen. Der kostenlose Ratgeber zur Hacker-Abwehr hilft Firmen, Phishing-Angriffe frühzeitig zu entlarven und effektiv zu stoppen. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Fokus auf strategische Sektoren im Nahen Osten und Afrika
Die geografische Ausrichtung der Kampagne konzentriert sich gegenwärtig auf den Nahen Osten und Teile Afrikas. Besonders häufig wurden Angriffsversuche in Ägypten, Äthiopien und Afghanistan registriert. Die Branchenfokussierung auf die Luft- und Raumfahrt sowie den Fintech-Sektor deutet darauf hin, dass die Gruppe gezielt nach technologischem Know-how und sensiblen Finanzdaten sucht.
Sicherheitsexperten weisen darauf hin, dass die Nutzung von Node.js-Malware eine strategische Weiterentwicklung darstellt. Da viele Entwickler Node.js in ihrer täglichen Arbeitsumgebung nutzen, fallen entsprechende Prozesse in der Prozessliste weniger schnell als verdächtig auf.
Unternehmen in den betroffenen Branchen werden dazu angehalten, ihre Mitarbeiter über die Risiken bei der Annahme von Dateianhängen oder Softwarepaketen im Rahmen von LinkedIn-Anfragen aufzuklären und die Sicherheitsvorkehrungen für Entwicklungsumgebungen zu verschärfen.
