Il gruppo di hacking iraniano Nimbus Manticore, noto anche come Iranian Dream Job per le sue esche basate su finti recruiter, ha ampliato in modo significativo il proprio arsenale con due nuove famiglie malware multipiattaforma, capaci di infettare Windows, Linux e macOS grazie a RAT sviluppati in Node.js e JavaScript. La scoperta arriva dai ricercatori di Kaspersky, che hanno battezzato i nuovi strumenti NodeRabbit e PollCat, segnando un’evoluzione importante nella capacità del gruppo di colpire ambienti di sviluppo e workstation cross‑platform. Il primo campione di NodeRabbit è stato individuato in Afghanistan, seguito da rilevamenti in Egitto ed Etiopia.
L’infezione parte da archivi ZIP distribuiti tramite spear‑phishing su LinkedIn e piattaforme di lavoro, presentati come “coding challenge” per posizioni ingegneristiche. All’interno, un progetto chiamato Taskflow chiede al candidato di correggere bug nel frontend, mentre il file server.js — dichiarato “perfettamente funzionante” — contiene il codice malevolo. Il file importa un pacchetto npm trojanizzato, colorized_terminal, che avvia in background l’impianto NodeRabbit nascosto nella directory .cache. NodeRabbit comunica con tre server C2 ospitati su Azure e supporta undici comandi, tra cui esecuzione di shell, lettura e scrittura di file, enumerazione di processi e adattatori di rete, cancellazione di directory e modifica dell’intervallo di beacon.
Una funzione particolarmente insidiosa permette di scrivere script Node.js codificati in Base64 in file temporanei, eseguirli e cancellarli per eliminare tracce. Secondo Kaspersky, il passaggio a RAT multipiattaforma offre al gruppo un vantaggio strategico: un’unica base di codice capace di infiltrarsi in workstation di sviluppatori su qualsiasi sistema operativo, mantenendo intatta la tattica storica del gruppo, basata su finti recruiter e offerte di lavoro mirate a settori critici in Medio Oriente e Africa.
