Introdução
Investigadores da Kaspersky descobriram novas atividades do grupo Mirage Kitten utilizando famílias de malware anteriormente não documentadas: NodeRabbit e PollCat. O grupo, conhecido por ataques de espionagem, está expandindo seu arsenal com malwares baseados em Node.js e JavaScript, visando setores de aviação e FinTech no Oriente Médio e África.
Descoberta e escopo
O NodeRabbit é um RAT (Remote Access Trojan) multiplataforma construído com Node.js, enquanto o PollCat é um RAT escrito em JavaScript ofuscado. Ambos são distribuídos através de arquivos compactados trojanizados que simulam desafios de programação para candidatos a emprego, entregues via LinkedIn e plataformas de busca de trabalho.
Vetor e exploração
A infecção começa com contatos de perfis falsos de recrutadores que convidam o alvo a completar uma avaliação técnica. O arquivo compactado contém um projeto de desenvolvimento que, ao ser executado, instala o malware. O NodeRabbit utiliza pacotes trojanizados como colorized_terminal e pretty-log para esconder sua presença.
Evidências e limites
O malware verifica se o ambiente é de análise e pode se autodestruir se detectar ferramentas de segurança. Variantes mais avançadas implementam suporte a proxy corporativo e persistência via tarefas agendadas e extensões do VS Code. O PollCat utiliza endpoints de C2 hospedados no Azure e Cloudflare para camuflar o tráfego.
Impacto e alcance
O impacto é significativo para organizações de tecnologia e finanças. O malware coleta informações do sistema, executa comandos arbitrários e pode exfiltrar dados sensíveis. A persistência via hooks do Git e extensões do VS Code torna a detecção e remoção mais complexas.
Análise técnica detalhada
O NodeRabbit gera um identificador único baseado em informações do host e se comunica com C2s hospedados no Azure. O PollCat utiliza um protocolo de beacon similar ao Retrograde/MiniFast, com handshake HTTP 400 como sucesso. Ambos usam criptografia AES-256-GCM para comunicação.
Medidas de mitigação recomendadas
Organizações devem revisar pacotes npm e dependências de projetos. Equipes de segurança devem monitorar tráfego de rede para domínios suspeitos e verificar a integridade de arquivos de projeto. A educação de funcionários sobre phishing direcionado é crucial.
Indicadores de comprometimento (IoCs)
Hashes de arquivos, domínios de C2 e padrões de tráfego são fornecidos no relatório completo. Monitorar por tráfego para subdomínios do Azure e Cloudflare é essencial para detecção precoce.
Perguntas frequentes
Qual o setor mais afetado? Aviação e FinTech no Oriente Médio e África.
Como o malware se instala? Através de desafios de programação trojanizados em arquivos ZIP.