Mirage Kitten: кроссплатформенные RAT атакуют разработчиков через фальшивые вакансии

Группа Mirage Kitten атаковала организации в сфере авиации, аэрокосмической отрасли и FinTech в Египте, Эфиопии и Афганистане. Для атак использовались два ранее не задокументированных кроссплатформенных RAT, NodeRabbit и PollCat.

NodeRabbit написан на Node.js, а PollCat создан на основе обфусцированного JavaScript. Оба образца поддерживают Windows, Linux и macOS. Это отличается от исторически характерного для Mirage Kitten набора вредоносных программ, написанных на C, C++ и Go. Ранее группа часто распространяла их с помощью перехвата порядка поиска DLL.

Атаки под видом тестовых заданий

Первоначальный доступ к инфраструктуре жертв осуществлялся через поддельные профили рекрутеров. Они связывались с инженерами-разработчиками через LinkedIn и другие платформы поиска работы.

Жертвам предлагали скачать ограниченные по времени тестовые задания по программированию. Архивы размещались на легитимной облачной инфраструктуре, включая Amazon S3. Проекты были троянизированы. Выполнение стандартных команд установки или запуска приводило к исполнению вредоносного ПО.

Образцы NodeRabbit скрывались в путях кэша пакетов npm и запускались через модифицированные пакеты, включая colorized_terminal и pretty-log. PollCat встраивался в тестовое задание на React и запускался во время инициализации приложения, до завершения жертвой сопутствующего процесса аутентификации на основе одноразовых паролей, OTP.

Возможности NodeRabbit

NodeRabbit устанавливал локальный одноразовый прослушиватель на 127.0.0.1:48739 и взаимодействовал с C2-серверами, размещенными в Azure, через зашифрованные JSON-запросы.

Для шифрования применялся AES-256-GCM. Ключ производился от embedded sample. В каждом соединении использовались новые 12-байтовые векторы инициализации и 16-байтовые теги аутентификации.

В последующих вариантах появились проверки среды анализа. Вредоносная программа проверяла следующие признаки:

• низкий объем оперативной памяти;
• малое количество процессоров;
• короткое время работы системы;
• подозрительные имена пользователей или хостов;
• наличие распространенных инструментов анализа.

Один из вариантов поддерживал обнаружение HTTP- и HTTPS-прокси, настроек PAC и прокси Windows. Кроме того, он позволял использовать туннелирование через HTTP CONNECT, базовую аутентификацию, а также аутентификацию NTLM/Negotiate с помощью curl.exe.

Закрепление в среде разработчиков

Третий вариант NodeRabbit расширил набор команд с 11 до 23. Он также позволил операторам заменять список C2, хранящийся в оперативной памяти, и сохранять его в файл .sv.json.

Для закрепления, persistence, использовалось вредоносное расширение Visual Studio Code под названием «GitHub Copilot Helper». Оно запускало полезную нагрузку как отсоединённый процесс Node.js.

Кроме того, NodeRabbit внедрялся в Git-хуки после сканирования рабочих пространств и репозиториев разработчиков.

Работа PollCat

PollCat регистрировал зараженные хосты на C2-серверах по протоколу HTTP, получал токен сессии и выполнял опрос примерно каждые две минуты. Джиттер при этом достигал пяти секунд.

Команды и результаты передавались в виде Base64-кодированных двоичных записей в формате little-endian. Вредоносная программа поддерживала следующие функции:

• загрузку и скачивание файлов;
• выполнение JavaScript с доступом к модулям Node.js и дочерним процессам;
• перечисление процессов;
• обнаружение каталогов;
• сбор информации об инвентаре системы.

Маскировка C2-инфраструктуры

Mirage Kitten использовала Azure Websites и домены, поддерживаемые Cloudflare, для размещения C2-инфраструктуры. В некоторых случаях в поддомены включались названия организаций-жертв. Это позволяло сделать сетевой трафик похожим на легитимный.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.