Hackers iraníes suplantan reclutadores con pruebas de código que instalan RATs

Los hackers iraníes de Nimbus Manticore han ampliado su arsenal con dos familias de malware multiplataforma que se cuelan en ordenadores ajenos a través de falsas pruebas de programación. El grupo, conocido por sus campañas de 'trabajo soñado' en LinkedIn, ahora distribuye troyanos escritos en Node.js y JavaScript que funcionan en Windows, Linux y macOS. Así lo ha documentado Kaspersky, que ha bautizado a las dos cepas como NodeRabbit y PollCat.

El primer rastro de NodeRabbit apareció en un sistema en Afganistán, y luego se han visto infecciones en Egipto y Etiopía. El vector de entrada es un archivo ZIP llamado 'Front-Technical-Challenge.zip', alojado en AWS, que supuestamente forma parte de un proceso de selección para un puesto de ingeniería. Un falso reclutador de una gran tecnológica contacta con la víctima por LinkedIn y le pide que complete un ejercicio de codificación: corregir errores en el frontend de una aplicación de gestión de proyectos llamada Taskflow, con un límite de tres horas y sin usar herramientas de IA.

Las instrucciones advierten de que no se toque el archivo server.js, que supuestamente está libre de errores. Pero es precisamente ahí donde se esconde el malware. La primera línea importa un paquete npm envenenado llamado colorized_terminal, versión 2.1.0, que viene incluido en el propio archivo ZIP. Al ejecutarse, lanza un implante en segundo plano: NodeRabbit.

NodeRabbit: un RAT con 11 comandos

NodeRabbit se comunica con tres servidores de mando y control alojados en Azure mediante tres endpoints distintos: uno para registrar el agente, otro para consultar comandos y un tercero para enviar resultados. El malware es capaz de recopilar información del sistema, listar procesos, ejecutar comandos, leer archivos en fragmentos, escribir datos en offsets concretos, borrar archivos y directorios, crear carpetas, enumerar adaptadores de red y modificar el intervalo de baliza.

Además, puede escribir un script Node.js codificado en Base64 en un archivo temporal, ejecutarlo y borrarlo para no dejar rastro. Kaspersky ha identificado dos variantes más de NodeRabbit, cada una con su propio paquete npm envenenado (pretty-log en lugar de colorized_terminal) y con ligeras diferencias: una detecta entornos de análisis y otra cambia los endpoints de comunicación.

PollCat: el mismo truco con otra piel

PollCat también se distribuye mediante falsos desafíos de programación, esta vez con un proyecto React que usa terminología de CTF (capture the flag). El archivo incluye un tutorial en PDF que pide a la víctima introducir un código OTP de seis dígitos que caduca cada 30 segundos. El tiempo limitado es una táctica para meter prisa a la víctima y que ejecute el proyecto cuanto antes.

PollCat se conecta a su C2 a través de siete endpoints y soporta 22 comandos, que permiten desde operaciones con archivos hasta ejecutar JavaScript, cargar DLLs o enumerar procesos. Curiosamente, tres comandos (WS_DOWNLOAD, REQUEST_ELEVATION y PERSIST) aún no están implementados. También busca carpetas de 24 proveedores de software y seguridad (Google, Microsoft, Fortinet, CrowdStrike, etc.) para inventariar su contenido.

Un giro hacia lo multiplataforma

Históricamente, Nimbus Manticore usaba malware escrito en C, C++ y Go, con técnicas de secuestro de DLL. Este salto a Node.js y JavaScript les da un código único que funciona en los tres sistemas operativos, y los payloads se camuflan bien en entornos de desarrollo. Kaspersky atribuye la actividad a este grupo por las similitudes estructurales con su backdoor MiniFast y por el uso de dominios en Azure y Cloudflare.

La técnica de suplantar a reclutadores no es nueva: el grupo lleva años haciéndolo, y de hecho se le conoce como 'Iranian Dream Job' por esa táctica. Lo interesante es que ahora han adaptado sus herramientas a un ecosistema multiplataforma, lo que amplía su superficie de ataque. La pregunta es si veremos más variantes o si otros grupos copiarán esta estrategia.