Eine plattformübergreifende Spionage-Kampagne zielt auf Entwickler aus Luftfahrt und Fintech unter Windows, macOS und Linux – auch in Deutschland. Über manipulierte Programmieraufgaben schleusen Angreifer Remote-Access-Trojaner ein und nutzen dabei LinkedIn als Einfallstor.
Experten haben eine neue Spionage-Kampagne der Gruppe Mirage Kitten gegen Unternehmen aus der Luftfahrt- und Fintech-Branche aufgedeckt. Über manipulierte Programmieraufgaben im Rahmen eines vermeintlichen Recruiting-Prozesses für Entwickler schleusen die Angreifer die neuen Remote-Access-Trojaner NodeRabbit und PollCat ein. Die plattformübergreifende Malware kann Windows, macOS und Linux kompromittieren. Betroffene finden sich in mehreren Ländern weltweit, darunter auch in Deutschland.
Zielgerichtete Kampagne gegen Entwickler
Das Global Research & Analysis Team (GReAT) von Kaspersky hat eine neue zielgerichtete Kampagne des Bedrohungsakteurs Mirage Kitten gegen Unternehmen aus der Luftfahrt- und Fintech-Branche identifiziert. Die Angreifer geben sich auf LinkedIn als Recruiter namhafter Technologieunternehmen aus und kontaktieren Softwareentwickler, um Malware zu verbreiten. Im Rahmen eines angeblichen Bewerbungsverfahrens laden sie die Zielpersonen zu einem technischen Test ein. Der dafür bereitgestellte Link führt zu einer vermeintlichen Programmieraufgabe, die in einem legitimen Amazon-Cloud-Speicher hinterlegt ist. Um die Kandidaten unter Druck zu setzen, geben die Angreifer ein knappes Zeitlimit von ein bis drei Stunden vor. Zudem warnen sie ausdrücklich vor der Nutzung KI-gestützter Code-Assistenten – möglicherweise, weil diese den im Paket versteckten Schadcode erkennen könnten. Wird die Programmieraufgabe heruntergeladen und ausgeführt, wird Malware unbemerkt im Hintergrund gestartet.
Bislang setzte Mirage Kitten vor allem auf native beziehungsweise kompilierte Programme in C, C++ oder Go, die auf Windows-Systeme ausgerichtet waren. Mit Node.js und JavaScript nutzt die Gruppe nun eine gemeinsame Codebasis, die Angriffe auf Windows, macOS und Linux ermöglicht. Kaspersky identifizierte innerhalb der Kampagne zwei neue Malware-Familien.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenMirage Kitten setzt neue Malware-Familien ein
NodeRabbit ist ein auf Node.js basierender Remote-Access-Trojaner, der in Entwicklerpaketen versteckt wird und den Angreifern weitreichenden Zugriff auf das infizierte System ermöglicht. Für die dauerhafte Verankerung nutzt die Malware speziell auf Entwicklungsumgebungen zugeschnittene Mechanismen. So kann sie sich etwa als gefälschte Workspace-Erweiterung für Microsoft Visual Studio Code installieren oder lokale Code-Repositories verändern. Dadurch kann der Schadcode automatisch ausgeführt werden, wenn Projektcode gespeichert oder zusammengeführt wird.
Der JavaScript-basierte Remote-Access-Trojaner PollCat ist dagegen direkt in den Zugriff auf die vermeintliche Programmieraufgabe eingebunden. Er wird aktiv, nachdem die Zielperson ein vom angeblichen Recruiter bereitgestelltes Einmalpasswort eingegeben hat. Anschließend erfasst die Malware Systeminformationen, durchsucht Verzeichnisse und übermittelt die gesammelten Daten an die Angreifer.
„Der Wechsel von traditioneller, kompilierter Schadsoftware zu JavaScript-basierten Bedrohungen markiert einen Taktikwechsel bei Mirage Kitten“, erklärt Omar Amin, Sicherheitsexperte bei Kaspersky GReAT. „Indem die Gruppe den Recruiting-Prozess manipuliert und Schadcode direkt in alltägliche Entwicklerwerkzeuge einschleust, kann sie bestehende Sicherheitsvorkehrungen auf raffinierte Weise umgehen. Entwickler verfügen in Unternehmensnetzwerken häufig über erweiterte Zugriffsrechte und sind deshalb ein besonders attraktives Ziel für fortgeschrittene Cyberspionage.“
Mehr bei Kaspersky.com
Über Kaspersky Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/