Thought Leadership
Die iranische Hackergruppe Nimbus Manticore setzt laut einer Kaspersky-Analyse zwei zuvor unbekannte Schadsoftware-Familien namens NodeRabbit und PollCat ein.
Die Angreifer geben sich dabei gegenüber Softwareentwicklern als Talentvermittler großer Technologieunternehmen aus und laden Zielpersonen über LinkedIn sowie andere Jobplattformen zu einer angeblichen technischen Aufgabe ein. Im dokumentierten Fall enthielt eine solche Aufgabe den Quellcode eines fiktiven Projektmanagement-Tools samt der Anweisung, innerhalb von drei Stunden sämtliche Fehler im Frontend-Code zu beheben, ausdrücklich ohne KI-gestützte Werkzeuge zu nutzen. Die eigentlich als angeblich fehlerfrei bezeichnete und deshalb von einer Bearbeitung ausgenommene Serverkomponente enthielt dabei den eingeschleusten Schadcode. Dieser lud über ein manipuliertes, direkt im Aufgabenarchiv statt über das reguläre npm-Verzeichnis mitgeliefertes Paket unbemerkt die eigentliche Schadsoftware NodeRabbit im Hintergrund nach.
NodeRabbit kommuniziert anschließend mit einem von drei Azure-gehosteten Kontrollservern und unterstützt insgesamt elf Befehle, darunter das Auslesen von Systeminformationen, das Ausführen beliebiger Shell-Befehle, das Lesen und Schreiben von Dateien sowie das Erfassen von Netzwerkeinstellungen. Kaspersky fand dabei zwei weitere Varianten derselben Schadsoftware in Ägypten und Äthiopien, eine davon mit insgesamt 12 zusätzlichen Befehlen, darunter das gezielte Auslesen von Kontodaten aus Outlook-Postfachdateien sowie die Installation einer gefälschten, als „GitHub Copilot Helper“ getarnten Visual-Studio-Code-Erweiterung zur zusätzlichen Tarnung und Persistenz.
Zweite Schadsoftware der Hacker nutzt Zeitdruck durch Einmalcode
Eine zweite dokumentierte Kampagne verbreitet über ähnlich aufgebaute, zeitlich begrenzte Programmieraufgaben die Schadsoftware PollCat. Auffällig dabei: Das eigentliche, angeblich als Wettbewerbsplattform getarnte Projekt enthält durchgehend Begriffe aus dem Bereich klassischer Hacking-Wettbewerbe, obwohl die eigentliche Aufgabe damit nichts zu tun hat, ein nach Einschätzung von Kaspersky möglicher Hinweis darauf, dass die Angreifer die Grundstruktur selbst mithilfe eines KI-Programmierassistenten erzeugen ließen und erst nachträglich den Schadcode einfügten.
Ein beigefügtes PDF-Tutorial fordert Zielpersonen zudem auf, einen alle 30 Sekunden ablaufenden, sechsstelligen Einmalcode einzugeben und die Aufgabe innerhalb einer Stunde abzuschließen, ein Vorgehen, das laut Kaspersky gezielt künstlichen Zeitdruck erzeugen soll. PollCat selbst läuft dabei bereits unabhängig von diesem Bestätigungsprozess im Hintergrund weiter und unterstützt 22 Befehle für Dateizugriffe, Befehlsausführung sowie das Auf- und Herunterladen von Dateien. Zusätzlich durchsucht die Schadsoftware das System gezielt nach Ordnern von 24 bekannten Sicherheits- und Softwareanbietern, darunter Kaspersky selbst, Microsoft, Cisco und CrowdStrike. Kaspersky-Forscher Omar Amin ordnete die technische Weiterentwicklung so ein:
Die Umstellung auf plattformübergreifende Skriptsprachen verschafft den Betreibern eine einzige, gemeinsame Codebasis.
Omar Amin, Kaspersky-Forscher
Diese laufe gleichermaßen unter Windows, Linux und macOS und lasse sich dadurch unauffällig in gewöhnliche Entwicklerumgebungen einbetten, während die eigentliche Verbreitungsmethode über gefälschte Personalvermittler-Profile auf LinkedIn weiterhin dem bereits seit Längerem bekannten Vorgehen der Gruppe entspreche, mit dem gezielt kritische Branchen im Nahen Osten und in Afrika für Cyberspionage-Zwecke angegriffen würden.
(red)
