LONDON (IT BOLTWISE) – Eine iranisch zugeschriebene Nimbus-Manticore-Campagne nutzt scheinbar legale Coding-Tests, um Cross-Plattform-RATs über trojanisierte Node.js-Pakete in die Zielsysteme einzuschleusen. Laut Kaspersky werden dafür zwei Malware-Familien unter den Namen NodeRabbit und PollCat verfolgt, die sowohl Linux als auch macOS erreichen sollen. Als Einstieg dienen Recruiter-Masken auf LinkedIn und Jobportalen, während im Projektarchiv manipulierte serverseitige Komponenten versteckt sind. Besonders brisant: Die Payload läuft mit plattformgerechter Persistenz weiter und kommuniziert über Azure-basierte Command-and-Control-Endpunkte.
Im Kern geht es bei der neuen Beobachtung um eine Verschiebung der Angriffslogik: Die Bedrohungsakteure bleiben nicht bei klassischen Windows-Only-Backdoors, sondern setzen auf Remoting-Funktionen, die sich über mehrere Betriebssysteme hinweg wiederverwenden lassen. Die in der Szene als Nimbus Manticore geführte Gruppe wird laut Kaspersky seit einiger Zeit mit weiteren Tool-Erweiterungen in Verbindung gebracht; in diesem Fall stehen zwei bislang nicht dokumentierte Malware-Familien im Fokus. Kaspersky trackt die neuen Stränge unter den Namen NodeRabbit und PollCat, die beide als Cross-Plattform-Remote-Access-Trojaner beschrieben werden und damit das Zielbild „einmal liefern, überall steuern“ technisch näherbringen.
NodeRabbit soll über spear-phishingartige Nachrichten ausgerollt werden: In den Angaben von Kaspersky erscheinen die Absender als Recruiter auf LinkedIn und anderen Job-Suchplattformen und schicken Kandidaten trojanisierte Archive mit „Coding Challenge“-Inhalten. In dem Beispiel, das Kaspersky nennt, findet sich als Ausgangspunkt ein ZIP namens „Front-Technical-Challenge.zip“, das auf AWS gehostet gewesen sein soll. Für die Entschärfung „es ist doch nur ein Projektzip“ ist jedoch die serverseitige Ebene entscheidend: In der Aufgabenanleitung wird dem Ziel nahegelegt, den Serveranteil („server.js“) nicht anzufassen und davon auszugehen, er sei bugfrei. Laut Kaspersky wird genau in dieser Datei eine manipulierte Abhängigkeit eingebettet.
Technisch nutzt NodeRabbit den für JavaScript-Ökosysteme typischen „npm install“-Pfad aus, ohne dass die schädlichen Pakete öffentlich im npm-Registry-Umfeld erscheinen müssen. Laut Kaspersky importiert „server.js“ im ersten beobachteten Fall ein trojanisiertes npm-Paket namens „colorized_terminal“ in Version 2.1.0. Die Akteure sollen das Paket direkt im node_modules-Verzeichnis innerhalb des Challenge-Archives bündeln, statt es zu veröffentlichen; beim Import wird demnach still eine Implant-Logik aus einem Cache-Pfad in node_modules/.cache/…/index.js als „detached“ Hintergrundprozess gestartet. Danach kommuniziert NodeRabbit über drei Azure-hostete Command-and-Control-Server, verbunden über klar abgegrenzte API-Endpunkte, die sich auf Check-in (Agent- und Host-Registrierung), Task-Polling und Ergebnisübermittlung verteilen.
Das Funktionsspektrum von NodeRabbit wird von Kaspersky relativ breit beschrieben und umfasst unter anderem Prozess- und Verzeichnisaufzählung, das Ausführen beliebiger Shell-Kommandos sowie dateibasierte Operationen inklusive Chunking, Base64-Serialisierung, selektivem Schreiben über Offsets und das Löschen von Dateien oder rekursiven Verzeichnissen. Zusätzlich soll das Modul zur Spurenminimierung Base64-kodierte Node.js-Skripte in zufällig benannten „.tmp“-Dateien ablegen, ausführen und anschließend wieder entfernen. Kaspersky identifiziert zudem zwei weitere NodeRabbit-Varianten mit gleicher Code-Linie, die sich unter anderem durch unterschiedliche trojanisierte npm-Pakete (u. a. „pretty-log“ in Version 2.1.0) sowie durch abweichende C2-Endpunkt-Sets unterscheiden. Die zweite Variante soll außerdem den Betrieb in einer Analyseumgebung erkennen und im gleichen Atemzug nur teilweise Unternehmens-Proxy-Unterstützung implementieren.
Auch die Persistenzmechanik zeigt den Cross-Plattform-Fokus: Je nach Betriebssystem soll NodeRabbit mit systemeigenen Einstiegspunkten weitermachen, etwa über einen Windows-Run-Registry-Key, über einen Cron-Eintrag für Linux oder über einen Launch Agent auf macOS. Kaspersky ordnet diese Persistenz in zwei Varianten ein, die jeweils eine Legitimationshülle durch Nachahmung bekannter Browser- oder Treiber-/Support-Abläufe herstellen sollen. Die dritte Variante geht laut Kaspersky anders vor, weil sie kein „Impersonating“ einer konkreten Softwarekomponente verfolgt, aber explizit die Windows Subsystem for Linux (WSL) berücksichtigt: So soll sie einen täglichen Task um 10:00 Uhr anlegen, der ein Visual-Basic-Skript über wscript.exe startet und dabei wsl.exe einbezieht. Inhaltlich ergänzt dieser Strang zusätzliche neue Kommandos, die unter anderem Windows-Laufwerksbuchstaben beziehungsweise WSL-gemountete Pfade erschließen, Prozesse gezielt beenden, den aktiven C2-Server austauschen und außerdem Outlook-Artefakte (PST/OST) nach Kontoadressen durchsuchen sollen.
Nicht weniger aufschlussreich ist der zweite Malware-Strang PollCat, der ebenfalls als Cross-Plattform-RAT beschrieben wird. Laut Kaspersky wird PollCat über „Programming challenge“-Lures verteilt, die wie zeitlich begrenzte Entwickler-Assessments wirken; obwohl die Oberfläche keinen „Security CTF“ wie in klassischen Capture-the-Flag-Formaten verlangt, enthält das Projekt an mehreren Stellen CTF-typische Labels und sogar einen Token-/Zeitdruck-Mechanismus. In einem beschriebenen Ablauf soll ein PDF-Training die Zielperson zum Klicken auf „Continue“ auffordern, dann einen kurzlebigen sechsstelligen OTP einzugeben, der alle 30 Sekunden erneuert wird, und die Challenge in einer Stunde zu beenden. Der entscheidende Punkt: Trotz dieser scheinbar geschlossenen Authentifizierung soll PollCat unabhängig vom OTP-Validierungspfad weiterlaufen – ein Fehlschlag blockiert lediglich den Zugriff auf geschützte Challenge-Funktionen, während bei Erfolg eine zusätzliche PollCat-Instanz gestartet wird und ein JWT ausgegeben wird.
Für den Betrieb setzt PollCat laut Kaspersky auf tägliche Persistenz über Scheduled Tasks (Windows, Linux, macOS) und bindet sich anschließend per C2 an, um Basisinformationen zu melden und weitere Anweisungen zu holen. Das Kommando-Set reicht von Dateioperationen über Shell-Ausführung bis hin zum Ausführen von JavaScript, dem Laden von DLLs, dem Erstellen und Extrahieren von ZIP-Archiven sowie zur Systeminventur inklusive Mountpoints, Laufwerken und laufenden Prozessen. Darüber hinaus soll PollCat gezielt nach Verzeichnissen suchen, die hardkodierte Zeichenketten zu bekannten Software- und Sicherheitsanbietern enthalten, dann aber nicht rekursiv durch die Produktverzeichnisse scannen, sondern die gefundenen Root-Inhalte als JSON zusammenfassen und an einen spezifischen Ergebnis-Endpunkt übermitteln. Der organisatorische Kontext für die Zuordnung zu Nimbus Manticore ergibt sich laut Kaspersky aus strukturellen Ähnlichkeiten zu einem zuvor beschriebenen Toolset (u. a. MiniFast) sowie aus wiederkehrenden Mustern beim Command-Fetching, Beacon-Timing und dem Einsatz von Azure Websites und Cloudflare-unterstützten Domains für die Steuerung. Für Unternehmen bedeutet das: Wer Recruiting-Workflows als „arbeitsnah, aber nicht sicherheitskritisch“ einstuft, muss diese Annahme neu kalibrieren – denn die kompromittierende Nutzlast tarnt sich hier nicht nur als Code-Artefakt, sondern greift über die JavaScript-Abhängigkeitskette direkt in Entwicklerumgebungen ein.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Iranische Nimbus-Manticore-Gruppe liefert Cross-Plattform-RATs über Coding-Tests" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Iranische Nimbus-Manticore-Gruppe liefert Cross-Plattform-RATs über Coding-Tests" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Iranische Nimbus-Manticore-Gruppe liefert Cross-Plattform-RATs über Coding-Tests« bei Google Deutschland suchen, bei Bing oder Google News!